如何借助Authentication Services在Swift应用中执行sudo命令

即使关闭了沙箱，直接用Process执行sudo命令也会被系统安全机制拦截——这是因为sudo依赖终端环境的权限上下文，而GUI应用的权限隔离逻辑和终端不同。使用Authentication Services（Security框架下的授权API）是更可靠的方式，核心是通过系统授权弹窗获取用户权限，再以授权上下文执行命令。

实现步骤与代码示例 #

首先需要导入Security框架，然后通过以下流程实现：

1. 创建AuthorizationRef实例，触发系统授权弹窗获取用户权限
2. 利用授权后的AuthorizationRef执行目标命令
3. 读取命令的输出与错误信息

import SwiftUI
import Security

struct ContentView: View {
    var body: some View {
        Button("执行需权限的命令") {
            runPrivilegedCommand()
        }
    }
    
    private func runPrivilegedCommand() {
        var authRef: AuthorizationRef?
        // 创建授权上下文，请求交互式授权
        let authStatus = AuthorizationCreate(nil, nil, [.interactive, .extendRights], &authRef)
        
        guard authStatus == errAuthorizationSuccess, let auth = authRef else {
            print("授权失败，错误码：\(authStatus)")
            return
        }
        // 确保授权上下文被释放
        defer { AuthorizationFree(auth, []) }
        
        // 替换为你需要执行的命令（必须用绝对路径）
        let targetCommand = "/bin/ls"
        // 命令参数，示例为访问受权限保护的目录
        let commandArgs = ["/private/var/log"]
        
        // 用于捕获命令输出的管道
        let outputPipe = Pipe()
        let outputHandle = outputPipe.fileHandleForReading
        
        // 执行授权后的命令
        let execStatus = AuthorizationExecuteWithPrivileges(auth, targetCommand, [], commandArgs, &outputPipe.fileHandleForWriting)
        
        guard execStatus == errAuthorizationSuccess else {
            print("命令执行失败，错误码：\(execStatus)")
            return
        }
        
        // 读取命令输出
        let outputData = outputHandle.readDataToEndOfFile()
        if let outputStr = String(data: outputData, encoding: .utf8) {
            print("命令输出：\n\(outputStr)")
        }
        
        // 可选：捕获错误输出
        let errorPipe = Pipe()
        let errorHandle = errorPipe.fileHandleForReading
        let envVars = ["STDERR_FILENO=\(errorPipe.fileHandleForWriting.fileDescriptor)"]
        // 重新执行命令时传入环境变量重定向stderr
        let execWithErrStatus = AuthorizationExecuteWithPrivileges(auth, targetCommand, envVars, commandArgs, &outputPipe.fileHandleForWriting)
        if execWithErrStatus == errAuthorizationSuccess {
            let errorData = errorHandle.readDataToEndOfFile()
            if let errorStr = String(data: errorData, encoding: .utf8), !errorStr.isEmpty {
                print("命令错误输出：\n\(errorStr)")
            }
        }
    }
}

关键注意事项 #

• 路径必须绝对化：所有执行的命令必须使用绝对路径（比如/bin/ls而非ls），否则系统无法定位到命令文件。
• 沙箱必须关闭：Authentication Services的API在沙箱启用时会被限制，必须在Xcode的项目设置中关闭沙箱。
• 应用签名要求：即使是开发阶段，也需要用有效的开发证书签名应用，否则系统会阻止授权弹窗弹出。
• 废弃API说明：AuthorizationExecuteWithPrivileges在macOS 10.10后被标记为废弃，但Apple至今未移除该API，对于简单的权限需求完全可用；如果需要长期维护的应用，可考虑迁移到SMJobBless（Privileged Helpers方案），但实现复杂度更高。
• 授权有效期：默认授权仅在当前会话有效，如果需要重复执行命令，可在AuthorizationCreate时添加.preAuthorize flag延长授权时长。

内容的提问来源于stack exchange，提问作者Mansidak