macOS环境下如何安全存储加密密钥，仅允许自有可执行程序访问？

阿华AIGC实验室

2026-4-30

安全存储Swift可执行程序加密密钥的方案解析

咱们先从你提到的几个思路逐一拆解，帮你找到兼顾安全和便捷的最优解：

一、关于Keychain的误解：未签名程序也能用，但要做好访问控制

你担心未签名程序无法限制Keychain密钥的访问，其实不完全正确。Keychain的访问控制机制不止依赖程序签名，还可以通过以下方式限制：

使用kSecAttrService字段标记你的程序专属的服务名称，比如"com.yourcompany.App.Key"，这样其他程序除非知道这个服务名，否则很难获取到密钥；
更严格的是设置访问控制列表（ACL），指定只有你的可执行文件路径能访问该密钥（类似Git的做法）。

不过确实，未签名程序的ACL限制存在漏洞——如果有人替换了你的可执行文件路径下的二进制，就能绕过限制。所以签名是更稳妥的方案。

二、Git的Keychain存储原理：靠ACL限制访问路径

Git在macOS上存储凭据时，会通过security命令添加通用密码条目，并且指定-T参数（信任的程序路径），比如：

security add-generic-password -a $USER -s "git:https://github.com" -w $TOKEN -T /usr/bin/git

这个-T参数就是告诉Keychain：只有/usr/bin/git这个路径的程序能读取这个密钥。这种方式的安全性依赖于系统对文件路径的保护（比如普通用户无法修改/usr/bin下的文件），但如果你的程序放在用户可修改的目录（比如~/bin），这种方式就有风险。

三、本地目录存储（类似.ssh）：安全性不足，不推荐

把密钥存在~/.app-keys这类目录，即使设置chmod 600权限，也存在两个问题：

系统上的其他特权程序（比如恶意软件）可以读取该文件；
密钥是明文存储（除非你自己加密），一旦文件泄露就直接暴露。
所以这种方案只适合低敏感级别的密钥，不推荐用于加密密钥存储。

四、密码加密密钥：便捷性太差，仅作备选

每次启动都让用户输入密码解密密钥，确实能保证安全，但用户体验极差，除非你的程序是一次性使用或者处理极高敏感数据，否则不建议采用。

五、无需开发者账号的自签名：实现Keychain专属保护空间

重点来了！你完全可以不用Apple开发者账号，自己生成自签名证书来给程序签名，这样就能在Keychain中设置仅允许你的签名程序访问的密钥。具体步骤如下：

1. 生成自签名代码签名证书

两种方式可选：

用Keychain Access.app操作：
1. 打开Keychain Access → 顶部菜单「钥匙串访问」→「证书助理」→「创建证书」；
2. 名称填"My App Signer"，身份类型选「自签名根证书」，证书类型选「代码签名」，勾选「让我覆盖默认值」；
3. 一路下一步，最后在「指定密钥信息」里确保密钥类型是RSA，大小2048以上，完成证书创建。
用命令行快速生成：

security create-certificate -c "My App Signer" -s "My App Signer" -r RSA -k 2048 -t codeSign -f der -o ~/Desktop/MySigner.cer
# 导入到钥匙串
security add-certificates ~/Desktop/MySigner.cer

2. 给你的Swift可执行程序签名

编译完成后，用生成的证书签名：

# 替换成你的证书名称
codesign -s "My App Signer" .build/release/App

验证签名是否成功：

codesign -v .build/release/App

3. 在Keychain中存储带签名验证的密钥

在你的Swift代码中，导入Security框架，添加Keychain条目时设置kSecAttrAccessControl属性，指定只有签名后的程序能访问。示例代码片段：

import Security
import Crypto

func saveKeyToKeychain(key: SymmetricKey, service: String = "com.your.App.Key") throws {
    let keyData = key.withUnsafeBytes { Data($0) }
    
    let accessControl = SecAccessControlCreateWithFlags(
        kCFAllocatorDefault,
        kSecAttrAccessibleWhenUnlocked,
        .privateKeyUsage,
        nil
    )
    
    let query: [CFString: Any] = [
        kSecClass: kSecClassGenericPassword,
        kSecAttrService: service,
        kSecAttrAccount: "AppEncryptionKey",
        kSecValueData: keyData,
        kSecAttrAccessControl: accessControl!,
        kSecAttrAccessible: kSecAttrAccessibleWhenUnlockedThisDeviceOnly
    ]
    
    let status = SecItemAdd(query as CFDictionary, nil)
    guard status == errSecSuccess else {
        throw KeychainError.status(status)
    }
}

enum KeychainError: Error {
    case status(OSStatus)
}

更严格的方式是通过签名的代码标识来限制访问，确保只有匹配你签名证书的程序能读取密钥，需要在访问控制中添加对应政策配置。