Mac登录二次认证：自定义插件后置调用配置咨询

我之前折腾过Mac登录授权插件的二次认证配置，刚好能解答你的问题，一步步给你说清楚：

一、authorizationdb配置的plist位置与修改方式 #

首先，system.login.console这个授权条目对应的配置文件实际存储在：

/Library/Security/authorizationdb/system.login.console

不过不建议直接编辑这个文件，Apple官方推荐用security命令行工具来读取和修改配置，操作更安全：

1. 先导出当前配置到本地编辑：

   security authorizationdb read system.login.console > ~/Desktop/login_console_config.plist
   

2. 打开导出的plist文件，找到mechanisms数组——这就是登录流程的认证步骤序列。你需要把CustomLogin:invoke添加到AD认证步骤的后面：
   • 如果你是绑定了域的AD环境，AD对应的认证步骤通常是ActiveDirectory:Authenticate或者builtin:authenticate,privileged，找到这一行，在它下方插入CustomLogin:invoke。
   • 举个例子，修改后的mechanisms数组片段大概是这样：

     <array>
       <string>builtin:policy-banner</string>
       <string>ActiveDirectory:Authenticate</string>
       <string>CustomLogin:invoke</string>
       <string>builtin:loginwindow-login</string>
       ...
     </array>
     

3. 把修改后的配置写回authorizationdb：

   security authorizationdb write system.login.console < ~/Desktop/login_console_config.plist
   

二、自定义插件的必要准备操作 #

光改配置还不够，你的CustomLogin插件得满足Mac授权框架的要求才能被识别：

• 插件安装路径：把你的插件bundle（比如CustomLogin.plugin）放到系统级插件目录：

  /Library/Security/SecurityAgentPlugins/
  

  注意权限设置：所有者设为root:wheel，权限设为755，否则系统会拒绝加载。
• 插件Info.plist配置：必须包含以下关键键值对，否则框架无法识别：
  • SFAuthorizationPluginVersion：值为整数1（固定要求）
  • SFAuthorizationPluginName：值为CustomLogin（和你在authorizationdb里用的前缀一致）
  • CFBundleIdentifier：你的插件唯一标识符，比如com.yourcompany.CustomLogin
  • SFAuthorizationPluginRoles：数组类型，包含authviewer和authagent两个字符串，指定插件的角色权限
• 代码签名：Mac的安全机制要求插件必须签名，测试阶段可以临时关闭SIP（系统完整性保护），但生产环境必须用Apple Developer ID证书签名，否则系统会阻止加载。

三、验证与排错 #

配置完成后，别着急重启，先做这些检查：

• 执行security authorizationdb read system.login.console，确认CustomLogin:invoke已经出现在正确的步骤位置。
• 查看系统日志：用Console.app搜索authorization或CustomLogin关键词，看是否有插件加载失败的错误信息。
• 重启Mac，测试登录流程：输入AD账号密码通过认证后，应该会触发你的插件的invoke方法，弹出自定义二次认证界面。

内容的提问来源于stack exchange，提问作者user2214703