重签名Node.js后运行出现权限错误的原因及解决方法

问题背景 #

因业务需求对Node.js二进制文件重签名，使用codesign搭配自有Mac Developer ID完成操作后，通过codesign -d -vvvv node验证签名状态正常，但执行node -p 'process'时触发V8引擎内存权限相关致命错误。

错误栈示例 #

# Fatal error in V8: CodeRange start page is not executable
#
# FailureMessage Object: 0x7ff7bfeff340
1: 0x10003f248 node::Abort() [/path/to/node]
2: 0x10003f408 node::OnFatalError(char const*, char const*) [/path/to/node]
3: 0x1001d6a28 V8_Fatal(char const*, ...) [/path/to/node]
4: 0x10047e6d8 v8::internal::CodeRange::EnsureExecutable() [/path/to/node]
...

重签名脚本示例 #

#!/bin/bash
NODE_BINARY="/path/to/node"
DEVELOPER_ID="Developer ID Application: Your Company (XXXXXXXXXX)"

# 移除原有签名
codesign --remove-signature "$NODE_BINARY"

# 重新签名
codesign -s "$DEVELOPER_ID" --deep --force --verbose=4 "$NODE_BINARY"

# 验证签名
codesign -d -vvvv "$NODE_BINARY"

错误原因 #

重签名过程中未保留Node.js二进制原有的代码签名权限（Entitlements），V8引擎依赖的com.apple.security.cs.allow-jit、com.apple.security.cs.allow-unsigned-executable-memory等关键权限缺失，导致JIT编译生成的内存页无法被标记为可执行，触发权限校验错误。

可通过以下命令对比官方签名与重签名后的权限差异：

# 查看官方Node.js的权限
codesign -d --entitlements - /path/to/official/node
# 查看重签名后的权限
codesign -d --entitlements - /path/to/your/node

修复方案 #

步骤1：提取官方Node.js的权限文件 #

下载对应版本的官方Node.js二进制包，提取其签名权限并保存为文件：

codesign -d --entitlements - /path/to/official/node > node.entitlements

生成的node.entitlements内容示例：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>com.apple.security.cs.allow-jit</key>
    <true/>
    <key>com.apple.security.cs.allow-unsigned-executable-memory</key>
    <true/>
    <key>com.apple.security.cs.disable-executable-page-protection</key>
    <true/>
</dict>
</plist>

步骤2：带权限重新签名 #

修改重签名脚本，加入--entitlements参数指定权限文件：

#!/bin/bash
NODE_BINARY="/path/to/node"
DEVELOPER_ID="Developer ID Application: Your Company (XXXXXXXXXX)"
ENTITLEMENTS="./node.entitlements"

# 移除原有签名
codesign --remove-signature "$NODE_BINARY"

# 携带权限重新签名
codesign -s "$DEVELOPER_ID" --entitlements "$ENTITLEMENTS" --deep --force --verbose=4 "$NODE_BINARY"

# 验证签名与权限
codesign -d -vvvv --entitlements - "$NODE_BINARY"

步骤3：验证修复效果 #

执行node -p 'process'确认不再触发V8内存权限错误，同时通过codesign命令验证签名状态和权限均正常。

内容的提问来源于stack exchange，提问作者Rhain