iOS CI代码签名失败：errSecInternalComponent问题求助

问题背景 #

应用所有者变更后，更换Apple账号证书更新iOS CI签名流程，操作步骤与此前一致（openssl生成密钥/CSR → 提交Apple获取签名证书 → 导入Apple CA/签名证书/私钥至新钥匙串 → 配置下载配置文件），但签名阶段报错errSecInternalComponent：

• 代码编译正常，MAC GUI终端执行签名命令成功
• SSH手动执行、CI runner（通过SSH在tmux会话启动）执行均失败
• 所有环境下security find-identity均显示有效签名身份
• 补充线索：将证书密钥添加至login钥匙串后SSH环境可正常构建；复制验证过的login钥匙串导入证书后可正常签名，工作与非工作钥匙串大小有差异

核心原因 #

errSecInternalComponent是钥匙串访问权限上下文不匹配导致的：

• GUI终端运行时会自动加载login钥匙串的完整权限上下文，签名工具能正常获取证书/私钥
• SSH/tmux属于无GUI的头环境，默认不会加载钥匙串的权限配置，即使证书存在，签名工具也没有访问权限

解决方法 #

方法1：给CI会话配置钥匙串访问权限（推荐） #

在CI脚本中添加以下命令，确保签名工具能访问目标钥匙串：

# 解锁目标钥匙串（替换为你的钥匙串密码和路径）
security unlock-keychain -p "your_keychain_password" ~/Library/Keychains/login.keychain-db
# 设置为默认钥匙串，让codesign优先使用
security default-keychain -s ~/Library/Keychains/login.keychain-db
# 给苹果签名工具分配钥匙串访问权限
security set-key-partition-list -S apple-tool:,apple: -s -k "your_keychain_password" ~/Library/Keychains/login.keychain-db

注意：如果使用自定义钥匙串，替换路径为对应钥匙串的.keychain-db文件路径

方法2：复用已验证的login钥匙串 #

既然复制本地验证通过的login钥匙串后可正常工作，直接将该钥匙串同步到CI环境：

1. 从本地导出验证过的login钥匙串（路径：~/Library/Keychains/login.keychain-db）
2. 上传到CI runner的对应路径
3. 在CI脚本中解锁并设置为默认钥匙串即可，避免重新导入证书时的权限遗漏

验证步骤 #

每次调整后执行以下命令确认：

# 检查有效签名身份
security find-identity -v -p codesigning
# 手动测试签名
codesign -fs "你的签名身份名称" ./path/to/your/app

内容的提问来源于stack exchange，提问作者netikras