macOS下用C语言通过GUI请求密码自动提权至root的方案咨询

1. 使用系统自带的Authorization Services C API #

macOS系统自带的Authorization Services框架提供纯C语言接口，可弹出标准GUI密码输入框验证用户权限，完成提权操作，完全不需要Objective-C或Xcode工具链依赖（仅需链接系统自带框架）。

核心逻辑 #

通过AuthorizationCreate创建授权会话，调用AuthorizationCopyRights请求root级操作权限，触发系统GUI密码验证；验证通过后即可执行需要root权限的操作，或通过AuthorizationExecuteWithPrivileges启动提权后的子进程。

示例代码 #

适配你需求的C实现：

#include <stdio.h>
#include <stdlib.h>
#include <Security/Authorization.h>
#include <unistd.h>

#define ROOT_GID 0

int main() {
    // 检查当前是否已具备root权限
    if (getegid() == ROOT_GID || setegid(ROOT_GID) == 0) {
        printf("We are root\n");
        return 0;
    }

    AuthorizationRef authRef;
    OSStatus status;

    // 初始化授权引用
    status = AuthorizationCreate(NULL, kAuthorizationEmptyEnvironment, kAuthorizationFlagDefaults, &authRef);
    if (status != errAuthorizationSuccess) {
        fprintf(stderr, "Authorization init failed: %d\n", status);
        return 1;
    }

    // 定义需要的root权限
    AuthorizationItem right = {kAuthorizationRightExecute, 0, NULL, 0};
    AuthorizationRights rights = {1, &right};

    // 触发GUI密码验证，请求权限
    status = AuthorizationCopyRights(authRef, &rights, NULL,
                                     kAuthorizationFlagInteractionAllowed |
                                     kAuthorizationFlagPreAuthorize |
                                     kAuthorizationFlagExtendRights,
                                     NULL);
    if (status != errAuthorizationSuccess) {
        fprintf(stderr, "Authorization failed: %d\n", status);
        AuthorizationFree(authRef, kAuthorizationFlagDefaults);
        return 1;
    }

    // 验证通过后切换到root gid
    if (setegid(ROOT_GID) == 0) {
        printf("Successfully elevated to root via GUI auth\n");
    } else {
        perror("Failed to switch to root gid");
        AuthorizationFree(authRef, kAuthorizationFlagDefaults);
        return 1;
    }

    // 释放授权资源
    AuthorizationFree(authRef, kAuthorizationFlagDefaults);
    return 0;
}

编译方式 #

用系统自带的clang编译，链接Security框架即可：

clang -o elevate elevate.c -framework Security

2. 调用系统osascript触发GUI提权（备选方案） #

若不想直接使用Authorization Services API，可通过C语言调用系统自带的osascript工具，执行AppleScript代码弹出标准密码验证框，验证通过后启动提权后的进程。

示例代码片段 #

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

int main() {
    if (getegid() == 0 || setegid(0) == 0) {
        printf("We are root\n");
        return 0;
    }

    // 通过osascript弹出GUI密码框，验证后启动提权的自身进程
    char cmd[256];
    snprintf(cmd, sizeof(cmd), 
             "osascript -e 'do shell script \"%s\" with administrator privileges' >/dev/null 2>&1", 
             "./elevate");
    int ret = system(cmd);
    if (ret == 0) {
        printf("Elevated via osascript GUI auth\n");
    } else {
        fprintf(stderr, "Authorization failed\n");
        return 1;
    }
    return 0;
}

注意事项 #

• 该方式会启动新的提权进程，原进程不会获得权限，需将核心逻辑放在提权后的进程中执行。
• 直接用clang编译即可，无需额外依赖。

内容的提问来源于stack exchange，提问作者GhostDog98