Xcode中Privileged Helper无法完成公证问题咨询

一、问题根源 #

你遇到的问题根源在于Privileged Helper未配置专属权限文件（Entitlements），加上公证强制开启的Hardened Runtime会严格校验权限规则，导致Helper无法获取root权限执行命令；纯归档版本未经过严格签名校验，虽能靠手动授权临时运行，但根本不符合分发要求。

二、给Privileged Helper配置权限文件的具体操作 #

1. 创建Helper专属权限文件 #

别复用主App的权限文件，给Helper单独建一个：

• 在Xcode里右键Helper target → 选「New File」 → 挑「Property List」，命名成Helper.entitlements
• 用文本编辑器打开这个文件，替换成以下基础配置（按需调整）：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <!-- 核心：允许Helper获取root权限，必须关闭沙箱 -->
    <key>com.apple.security.app-sandbox</key>
    <false/>
    <key>com.apple.security.privilege.admin</key>
    <true/>
    <!-- 公证强制要求：开启Hardened Runtime -->
    <key>com.apple.security.hardened-runtime</key>
    <true/>
    <!-- 关闭不必要的Hardened子权限，避免公证失败 -->
    <key>com.apple.security.cs.allow-jit</key>
    <false/>
    <key>com.apple.security.cs.allow-unsigned-executable-memory</key>
    <false/>
    <!-- 执行shell命令必备：允许创建子进程 -->
    <key>com.apple.security.cs.allow-subprocess</key>
    <true/>
    <!-- 可选：如果Helper需要读写用户选择的文件，加上这条 -->
    <key>com.apple.security.files.user-selected.read-write</key>
    <true/>
</dict>
</plist>

2. 把权限文件关联到Helper Target #

• 选中Helper target，切到「Signing & Capabilities」标签页
• 点「+ Capability」，找到「Hardened Runtime」添加（公证必须）
• 在「Signing」区域的「Entitlements」下拉框里，选刚才创建的Helper.entitlements

3. 签名打包的注意事项 #

• Helper必须用和主App一致的开发者ID签名身份
• 归档分发时选「Mac App Store Developer ID」，勾选「Sign for distribution」，确保Helper被正确签名
• 公证提交的是包含已配置权限且签名完整的App包，别单独提交Helper

三、关键权限说明 #

• com.apple.security.privilege.admin：必须开，这是Helper获取root权限执行shell命令的核心权限
• com.apple.security.hardened-runtime：公证强制要求开启，同时要关闭JIT、未签名内存这类非必要子权限，不然过不了公证
• com.apple.security.cs.allow-subprocess：如果Helper要调用bash/zsh这类shell进程，必须开这个，Hardened Runtime默认会阻止子进程创建
• com.apple.security.app-sandbox：Helper必须关闭沙箱，沙箱会限制root权限的获取，这和主App的沙箱配置完全相反（主App一般可以开沙箱）

四、验证步骤 #

1. 打包后，用命令行检查Helper的签名和权限是否正确：

codesign -d --entitlements - /path/to/YourApp.app/Contents/Library/LaunchServices/com.yourcompany.helper

输出里要能看到你配置的所有权限，且签名状态显示「valid」

2. 测试公证后的App：安装后首次运行，系统会自动弹出授权窗口（不用手动去偏好设置找），授权后Helper就能正常执行root命令了

内容的提问来源于stack exchange，提问作者Mansidak