MacOS自托管Runner：SSH与GitHub Action执行keychain命令结果差异原因

核心原因：会话环境差异 #

你遇到的问题本质是GitHub自托管Runner的执行会话和SSH交互式会话的权限/上下文完全不同：

• SSH登录属于交互式用户会话，系统会加载用户完整的桌面上下文、权限策略，允许修改用户级偏好设置（包括钥匙链默认设置）。
• 自托管Runner默认通过**LaunchDaemon（系统级后台服务）**启动，属于无GUI的非交互式后台会话，此时用户权限上下文被严格限制，无法写入/Library/Preferences这类需要特定会话权限的目录。

具体细节拆解 #

• 权限管控差异：MacOS的安全框架会根据会话类型分配权限，后台会话中修改系统级偏好的操作会被SIP（系统完整性保护）或权限机制拦截；而交互式会话因为是用户主动操作，会获得对应的权限放行。
• 环境变量差异：SSH会话会加载用户的.bash_profile/.zshrc等配置，Runner的后台会话可能仅加载基础环境变量，导致security命令的执行上下文不一致。

可行的解决办法 #

• 切换Runner启动方式为LaunchAgent：将自托管Runner从系统级的LaunchDaemon改成用户级的LaunchAgent，这样Runner会继承当前用户的交互式会话权限，和你SSH登录的环境一致。
• 调整钥匙链命令执行顺序：先把临时钥匙链添加到用户的钥匙链列表，再设置默认，命令示例：

  # 将临时钥匙链加入用户钥匙链列表（保留原有其他钥匙链）
  security list-keychains -d user -s {my_keychain_path} $(security list-keychains -d user | tr -d '"' | grep -v "{my_keychain_path}")
  # 设置默认钥匙链
  security default-keychain -s {my_keychain_path}
  

• 确认Runner启动用户：确保自托管Runner确实是以UID501的用户启动，而非root或其他系统用户。

内容的提问来源于stack exchange，提问作者peakingcube