签名公证后Electron应用无法打包运行的问题排查

问题背景 #

• 未做代码签名时，应用可正常打包运行
• 添加开发者证书到钥匙串后打包，触发错误：Could not automatically determine ElectronTeamID from identity.，添加ElectronTeamID到构建配置后解决该错误
• 再次打包后应用无法打开，日志提示Code has restricted entitlements, but the validation of its code signature failed.，引入开发者配置文件后，应用启动直接崩溃，崩溃日志核心指向pthread_jit_write_protect_np函数
• 移除com.apple.security.app-sandbox权限后，应用恢复正常打包运行

使用版本：

"electron": "^27.1.3",
"electron-builder": "^24.9.1",
"node": v18.16.1

根本原因分析 #

崩溃日志中的pthread_jit_write_protect_np是关键线索：Electron基于V8引擎运行，V8的即时编译（JIT）机制需要动态写入可执行内存区域。当启用com.apple.security.app-sandbox沙箱权限时，macOS默认会限制这类内存操作，导致V8引擎初始化失败，触发崩溃。

之前未启用沙箱或公证前的临时签名未严格校验权限，所以能正常运行；启用沙箱后，权限限制生效，直接阻断了V8的核心运行逻辑。

解决方案 #

1. 补充沙箱例外权限 #

在权限文件中添加两个允许V8 JIT操作的权限，完整权限配置如下：

<key>com.apple.security.app-sandbox</key>
<true/>
<key>com.apple.security.network.client</key>
<true/>
<key>com.apple.security.network.server</key>
<true/>
<key>com.apple.security.files.user-selected.read-write</key>
<true/>
<key>com.apple.security.files.downloads.read-write</key>
<true/>
<key>com.apple.security.personal-information.location</key>
<true/>
<key>com.apple.security.automation.apple-events</key>
<true/>
<key>com.apple.security.cs.allow-jit</key>
<true/>
<key>com.apple.security.cs.allow-unsigned-executable-memory</key>
<true/>

2. 完善electron-builder配置 #

确保构建配置中正确关联权限文件、描述文件和TeamID，同时给主程序和辅助进程都配置权限继承：

"mac": {
  "extendInfo": {
    "ElectronTeamID": "你的TeamID"
  },
  "provisioningProfile": "path/to/你的描述文件.provisionprofile",
  "entitlements": "path/to/你的权限文件.plist",
  "entitlementsInherit": "path/to/你的权限文件.plist"
}

3. 验证配置有效性 #

1. 清理构建缓存：rm -rf dist node_modules/.cache
2. 重新打包：electron-builder build --mac
3. 测试运行打包后的应用，确认不再崩溃
4. 执行公证流程，确保符合Apple发布规范

内容的提问来源于stack exchange，提问作者Jason M