macOS应用执行sudo命令、持久化root权限及相关权限与服务问询

一、合规实现方案（不建议存储明文密码） #

直接存储管理员密码存在极高安全风险，苹果官方推荐采用特权Helper工具结合Authorization Services的方式实现，既符合系统安全规范，也能达成"一次验证、后续自动执行"的需求：

1. 首次验证流程
   • 调用Security框架的AuthorizationCreate创建授权会话，通过AuthorizationCopyRights唤起系统原生的权限验证窗口（用户输入管理员密码），验证通过后获取合法授权凭证。
   • 借助SMJobBless机制将你的特权Helper工具注册到系统，后续该Helper可代表应用执行特权操作，无需重复验证。
2. 后续特权命令执行
   • 主应用直接与已注册的Helper工具通信，由Helper工具负责执行需要sudo权限的命令，全程无需用户再次输入密码。

若确需存储验证相关信息，仅可存储授权会话的凭证（而非明文密码），并通过钥匙串托管，绝对禁止存储明文管理员密码。

二、钥匙串存储操作（仅针对合规场景） #

如果需要存储验证凭证（非明文密码），使用Security框架操作钥匙串：

• 存储：调用SecItemAdd接口，指定唯一的kSecAttrService（例如你的应用Bundle ID）、kSecAttrAccount（当前用户名），将kSecAttrAccessible设置为kSecAttrAccessibleWhenUnlockedThisDeviceOnly，确保仅在设备解锁状态下可访问。
• 读取：调用SecItemCopyMatching接口，通过之前设置的kSecAttrService和kSecAttrAccount查询并取出存储内容。

三、所需应用权限（Entitlements） #

• 若使用SMJobBless注册特权Helper工具，主应用必须添加com.apple.security.sm-jobBless entitlement；同时Helper工具的Info.plist中需包含SMAuthorizedClients数组，列出允许调用该Helper的主应用Bundle ID。
• 非沙盒应用操作钥匙串无需额外entitlements；沙盒应用需开启com.apple.security.application-groups entitlement，并将钥匙串条目关联到应用组，才能正常访问。

四、macOS原生简化服务 #

• Authorization Services（Security框架）：提供系统原生的权限验证机制，弹出的验证窗口为系统级，安全可靠，避免自行实现密码输入框带来的安全隐患。
• SMJobBless：系统官方的特权Helper注册机制，允许无特权应用将敏感操作委托给专门的Helper工具，是实现特权操作自动化的标准方案。
• Keychain Services（Security框架）：系统原生的安全存储服务，无需自行实现加密逻辑，即可安全托管敏感信息。

内容的提问来源于stack exchange，提问作者Albin Joseph