.NET 6.0可执行文件无法通过Apple公证的问题求助

针对你遇到的.NET 6 RC2可执行文件公证失败的问题，我整理了几个关键的排查和解决步骤，你可以逐一尝试：

1. 先验证本地签名是否真的有效 #

公证失败提示签名无效，首先要在本地确认签名的具体问题。执行以下命令查看详细的签名验证信息：

codesign --verify --verbose=4 DWGuru.app/Contents/MacOS/DWGuru

如果签名有问题，这个命令会给出具体的错误，比如权限不匹配、证书链不完整、或者entitlements没有正确绑定到可执行文件上。

2. 调整签名顺序和参数 #

你当前的签名步骤是先签MacOS目录下的所有文件，再签整个app包，但这里可能存在几个问题：

• 避免对pdb文件签名：pdb是调试符号文件，不需要签名，你可以只签可执行文件和dylib文件，比如：

  codesign DWGuru.app/Contents/MacOS/DWGuru DWGuru.app/Contents/MacOS/*.dylib --force --timestamp --sign *** --options=runtime --entitlements 'entitlements.plist'
  

• 取消--deep参数：--deep会递归签名内部组件，但对于.NET的apphost来说，可能导致签名层级混乱。建议先单独签名内部的可执行文件和依赖库，再签名整个app包时不要用--deep，只签顶层的app即可。

3. 排查.NET发布参数的影响 #

你使用了PublishSingleFile=true和PublishReadyToRun=true，这两个特性在.NET 6 RC2版本可能存在签名兼容性问题：

• 先尝试关闭PublishSingleFile=true，重新发布、签名、公证，看是否能通过。如果可以，说明单文件发布的打包方式导致签名无法被Apple认可，你可以等待.NET 6正式版修复，或者暂时放弃单文件发布。
• 同样，尝试关闭PublishReadyToRun=true，排查是否是AOT编译的代码导致签名验证失败。

4. 检查entitlements权限的必要性 #

你的entitlements里包含了com.apple.security.cs.disable-executable-page-protection，这个权限比较敏感，Apple可能会严格审核。确认你的应用是否真的需要这个权限，如果不需要，建议移除它，只保留.NET运行必需的权限：

<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>com.apple.security.cs.allow-jit</key><true/>
<key>com.apple.security.cs.allow-unsigned-executable-memory</key><true/>
<key>com.apple.security.cs.allow-dyld-environment-variables</key><true/>
</dict>
</plist>

过度的权限可能会触发Apple的额外验证，导致签名被判定为无效。

5. 下载完整的公证日志获取更多细节 #

你当前只拿到了简化的公证反馈，执行以下命令下载完整的公证日志，里面会有更详细的错误原因：

xcrun altool --notarization-log <你的RequestUUID> -u <你的AppleID> -p <你的密码> > notarization.log

查看这个日志，通常会明确指出签名无效的具体原因，比如证书过期、缺少某个扩展属性、或者代码不符合Apple的安全规范。

6. 使用官方发布流程替代msbuild BundleApp #

试试用dotnet publish命令直接发布，再用DotNet.Bundle工具打包，步骤如下：

# 发布项目
dotnet publish -c Release -r osx.10.15-x64 /p:UseAppHost=true /p:PublishSingleFile=true /p:PublishReadyToRun=true DWGuru/src/DWGuru/DWGuru.csproj
# 打包成.app
dotnet bundle --project DWGuru/src/DWGuru/DWGuru.csproj --runtime osx.10.15-x64 --configuration Release

然后再进行签名和公证，看是否能解决问题。

内容的提问来源于stack exchange，提问作者Richard Lalancette