Safari Web Extension原生App沙盒下无法创建出站Unix域套接字问题咨询

针对沙盒拦截Unix域套接字出站连接的问题，在不关闭沙盒、对端进程无法加入同一App Group的前提下，以下是3种可落地的经过生产验证的方案，按实现成本从低到高排列：

方案1：配置路径级临时例外Entitlement（最快落地，适配套接字路径固定场景） #

• macOS App Sandbox 支持针对特定文件路径配置读写例外，不需要对端进程做任何修改，也不会破坏沙盒原有权限配置导致Safari通知接收失效
• 操作方式：在Native App的Entitlements文件中添加键值com.apple.security.temporary-exception.files.absolute-path.read-write，类型为数组，把对端守护进程监听的Unix套接字文件的完整绝对路径加入数组即可
• 注意事项：
  • 该配置不支持通配符，套接字路径必须固定，如果对端每次启动生成随机套接字路径，该方案不适用
  • 该权限属于Mac App Store审核认可的临时例外，提交审核时在备注栏明确说明IPC用于安全功能的数据传输、对端进程的性质，通常不会被拒
  • 权限仅放开你声明的单个套接字文件的访问，不会放开其他文件、网络的访问权限，符合沙盒安全要求

方案2：通过launchd注册的XPC端点做中转（最合规，无审核风险） #

• macOS沙盒默认放开对所有合法注册的launchd XPC服务的访问权限，不需要额外申请例外Entitlement，是苹果官方推荐的沙盒跨进程通信方式
• 两种落地路径：
  • 如果可以修改对端守护进程代码：直接给守护进程配置launchd plist注册固定的XPC服务label，在原有Unix套接字监听逻辑之外，新增XPC消息处理接口，Native App通过NSXPCConnection直接对接该端点即可
  • 如果完全无法修改对端进程：自行开发一个极轻量的无沙盒用户级launchd Agent，这个Agent只做消息转发：一方面暴露XPC端点供沙盒内的Native App连接，另一方面连接原有对端守护进程的Unix套接字，双向透传消息即可
• 注意事项：
  • 自行开发的中转Agent不需要和Native App加入同一App Group，只要通过launchd注册为用户级服务，沙盒内就可以正常访问
  • 中转逻辑仅做消息透传，性能损耗可以忽略，不会影响安全功能的实时性
  • 该方案完全符合沙盒设计规范，提交App Store时不需要申请临时例外，没有审核风险

方案3：将套接字迁移到沙盒默认放开的共享目录（适配对端可修改套接字路径场景） #

• macOS沙盒默认放开对/tmp、/var/tmp两个全局临时目录的读写权限，不需要额外配置Entitlement，也不需要App Group，沙盒应用可以直接连接这两个路径下的Unix域套接字
• 操作方式：和对端守护进程约定，把监听的Unix套接字文件创建在/tmp或/var/tmp目录下，Native App直接连接对应路径即可
• 注意事项：
  • 系统会定期清理/tmp目录下的长期闲置文件，需要对端守护进程加好套接字异常检测、自动重建逻辑，避免通信中断
  • 临时目录是全局可读写的，你的通信层需要加消息签名、校验逻辑，避免恶意进程伪造传输数据，适配安全产品的防护要求

避坑提示：不要尝试用本地TCP环回端口（127.0.0.1）代替Unix域套接字，沙盒默认拦截所有本地TCP出站连接，对应的网络例外权限审核严格度远高于文件路径例外，不推荐使用。

内容的提问来源于stack exchange，提问作者Anand