如何确定签署IPA的iOS企业证书及区分同过期证书？

1. 匹配钥匙串与开发者账号的分发证书 #

要对应钥匙串和Apple开发者账号里的证书，直接看证书序列号即可：

• 打开Mac钥匙串访问，找到目标分发证书，双击打开并切换到「详细信息」标签，复制「序列号」字段的值。
• 登录Apple开发者账号，进入「证书、标识符和配置文件」，逐一打开iOS Distribution证书的详情页面，对比页面内的「序列号」，就能精准匹配对应关系。

2. iOS Distribution Managed 证书是什么 #

这是Apple托管的企业分发证书，专门服务于Apple Business Manager（ABM）或Apple School Manager（ASM）的「托管应用分发」场景——比如企业通过MDM批量推送内部应用时，由Apple自动生成和维护的证书，无需开发者手动创建。它和你用Xcode自动签名的常规企业分发证书属于独立体系，过期时间不匹配是正常情况，两者互不影响。

3. 用脚本检测IPA的签名证书 #

可以通过codesign命令直接提取IPA的签名证书信息，操作步骤如下：

# 1. 将IPA解压到临时目录
unzip your_app.ipa -d temp_ipa

# 2. 查看.app包的签名详情（替换为你的应用名称）
codesign -dv --verbose=4 temp_ipa/Payload/YourAppName.app

输出结果会包含证书的序列号、有效期、证书主体名称等关键信息，和钥匙串/开发者账号里的证书信息对比即可确认。

如果只需提取证书权威链信息，可使用：

codesign -dv --verbose=4 temp_ipa/Payload/YourAppName.app | grep -A 20 "Authority"

4. 哪些证书可以安全吊销 #

判断核心是确认证书是否仍被使用：

• 当前用于签名的证书（即Xcode自动签名用的证书，可通过上述脚本检测最近生成的IPA，或在Xcode偏好设置-账号-企业账号详情里查看）：绝对不能吊销，否则无法签名新IPA，旧IPA也会失效。
• 两张过期时间相同的iOS Distribution证书：
  • 若其中一张已无任何应用依赖（没有用它签名的IPA在流通，也无旧版本需要维护），可安全吊销。
  • 若不确定，建议暂时保留——证书数量上限足够，吊销后无法恢复，且用它签名的旧IPA会立即无法安装运行。
• iOS Distribution Managed证书：
  • 若未使用ABM/ASM或MDM托管分发应用，或该证书未关联任何正在分发的应用，可吊销。
  • 若正在使用托管分发服务，不要手动操作，由Apple自动管理其生命周期即可。

注意：吊销前建议备份钥匙串里的证书和对应私钥，避免意外情况。

内容的提问来源于stack exchange，提问作者rukiman