沙箱模式下命令行工具如何无需文档选择器获取安全作用域URL？

当然有办法！沙箱模式下的命令行工具完全可以像你提到的Matlab那样，直接请求特定文件/文件夹的权限，不用让用户通过文档选择器手动选择。下面给你拆解具体的实现思路和步骤：

核心原理 #

macOS的沙箱机制允许应用通过**安全作用域书签（Security-Scoped Bookmarks）**持久化保存访问权限，而对于首次访问的受限路径，我们可以借助Cocoa API触发系统原生的权限提示框，让用户直接授权，跳过手动选文件的步骤。

具体实现步骤 #

1. 配置沙箱权限 #

首先得确保你的命令行工具已经启用沙箱，并在entitlements文件中添加对应权限：

• 如果需要读写用户指定的任意文件/文件夹，添加com.apple.security.files.user-selected.read-write（别被名称里的"user-selected"迷惑，触发权限提示后也能获取非手动选择路径的权限）；
• 如果是要访问Documents、Downloads这类系统目录，可以添加com.apple.security.files.documents.read-write这类针对性权限，但依然需要用户授权才能生效。

2. 用Cocoa API触发权限请求 #

虽然是命令行工具，你依然可以链接Cocoa框架，通过NSFileCoordinator尝试访问目标路径——当沙箱阻止访问时，系统会自动弹出原生的权限提示框（和Matlab的请求样式一致）。示例代码如下：

#import <Cocoa/Cocoa.h>

int main(int argc, const char * argv[]) {
    @autoreleasepool {
        if (argc < 2) {
            NSLog(@"Usage: %s <file-path>", argv[0]);
            return 1;
        }
        
        NSString *path = [NSString stringWithUTF8String:argv[1]];
        NSURL *targetURL = [NSURL fileURLWithPath:path isDirectory:NO];
        
        // 用NSFileCoordinator尝试访问路径，自动触发权限请求
        NSFileCoordinator *coordinator = [[NSFileCoordinator alloc] initWithFilePresenter:nil];
        NSError *error = nil;
        
        [coordinator coordinateReadingItemAtURL:targetURL options:NSFileCoordinatorReadingWithoutChanges error:&error byAccessor:^(NSURL *newURL) {
            // 授权成功，这里可以执行读写操作
            NSLog(@"Successfully accessed %@", newURL);
            
            // 可选：生成安全作用域书签，持久化权限
            NSError *bookmarkError = nil;
            NSData *bookmarkData = [newURL bookmarkDataWithOptions:NSURLBookmarkCreationWithSecurityScope includingResourceValuesForKeys:nil relativeToURL:nil error:&bookmarkError];
            
            if (bookmarkData) {
                // 把bookmarkData存到配置文件里，下次启动就能直接恢复权限
                NSLog(@"Bookmark saved successfully");
            } else {
                NSLog(@"Failed to create bookmark: %@", bookmarkError);
            }
        }];
        
        if (error) {
            NSLog(@"Access error: %@", error);
            return 1;
        }
    }
    return 0;
}

3. 持久化权限（可选） #

如果想让工具下次启动时不用再次请求权限，可以把生成的bookmarkData保存到本地配置文件。下次启动时用以下代码恢复权限：

NSData *savedBookmarkData = // 从配置文件读取之前保存的书签数据
NSURL *restoredURL = [NSURL URLByResolvingBookmarkData:savedBookmarkData options:NSURLBookmarkResolutionWithSecurityScope relativeToURL:nil bookmarkDataIsStale:NULL error:&error];

if (restoredURL && [restoredURL startAccessingSecurityScopedResource]) {
    // 现在可以访问该路径了
    // 用完一定要调用stopAccessingSecurityScopedResource释放资源
    defer { [restoredURL stopAccessingSecurityScopedResource]; }
}

关键注意事项 #

• 记得让命令行工具链接Cocoa框架（在Xcode的Build Phases -> Link Binary With Libraries里添加Cocoa.framework）；
• 权限提示框是系统原生的，没法自定义内容，但会显示你的工具名称和请求访问的路径/文件夹；
• 每次使用安全作用域URL后，必须调用stopAccessingSecurityScopedResource()，避免资源泄漏；
• 如果请求的是文件夹权限，授权后就能访问该文件夹下所有子文件和子文件夹，不用逐个请求。

内容的提问来源于stack exchange，提问作者Schottky