关于无更新第三方SDK隐私清单与签名的App审核疑问

一、为老旧第三方库创建签名的步骤 #

• 提取库的核心二进制文件：如果是静态库，找到对应的.a文件或.framework包里的二进制；如果是动态库，直接定位到.framework或.xcframework的完整目录。
• 确认本地有可用的苹果开发者签名证书：打开Xcode的Preferences > Accounts，选中你的开发者账号，确保有有效的开发/发布证书。
• 用终端执行codesign命令重新签名，替换命令里的占位符为你自己的信息：

  codesign --force --sign "你的签名证书全称" --timestamp=none "目标库的路径"
  

  示例：codesign --force --sign "Apple Development: XXX (XXXXXX)" --timestamp=none ./OldLib.framework
• 验证签名有效性：执行codesign -vvv "已签名的库路径"，输出显示valid on disk和satisfies its Designated Requirement即为签名成功。

二、无法创建签名时的推进方案 #

• 替换替代库：寻找功能匹配、已适配隐私清单且有官方签名的第三方库替换老旧库，这是最稳妥的长期解决方案。
• 提交审核时备注说明：在App Store Connect提交版本时，在审核备注里明确说明该老旧库无更新、无法获取官方签名，但已在App隐私清单中补充该库的所有隐私相关信息，请求审核团队知晓并酌情处理。
• 合并静态库到主程序编译：如果是静态库，能拿到源码就直接集成到主项目编译，主项目的签名会覆盖库的签名；拿不到源码的话，尝试把静态库合并到主App二进制后，重新签名整个App。
• 申请官方豁免：若该老旧库为业务必需且完全无法替换，直接向苹果提交豁免申请，详细说明业务必要性、无法获取签名的原因，等待官方回复。

内容的提问来源于stack exchange，提问作者Mirant