为什么macOS应用调用C_GetSlotList无可用插槽而命令行工具正常？

问题根因定位 #

你遇到的差异本质是macOS平台命令行工具和GUI应用的默认权限策略不同：macOS 从10.7版本开始引入App Sandbox机制，新创建的GUI应用默认开启沙箱限制，对硬件设备、文件访问、网络等行为做了严格管控，而命令行工具默认不受沙箱限制，可以正常访问智能卡、HSM这类硬件设备。

具体解决步骤 #

• 第一步：确认App Sandbox权限配置
  Xcode新建的GUI应用默认开启App Sandbox，你需要在项目配置的「Signing & Capabilities」标签下找到Sandbox配置项，勾选以下必要权限：
  • Hardware分类下的Smart Card，这是访问智能卡、USB HSM设备的必备权限
  • 如果你使用的是网络型HSM，需要勾选Network分类下的Allow outgoing network connections (Client)
  • 如果你加载的是第三方未签名/未公证的PKCS#11动态库，需要勾选Disable Library Validation，避免应用拦截未受信的动态库加载
• 第二步：确认Hardened Runtime配置
  如果你开启了应用公证要求的Hardened Runtime，需要额外在Hardened Runtime配置中勾选Smart Card access权限，同时如果加载第三方PKCS#11库也需要开启Disable Library Validation例外。
• 第三步：代码侧校验
  你可以补充调试日志确认两个项目加载的是同一份PKCS#11动态库，同时在调用C_GetSlotList前增加C_Initialize的返回值校验：部分PKCS#11库在权限不足时初始化不会返回错误，但后续调用C_GetSlotList会直接返回空列表。
• 第四步：快速验证方案
  你可以临时关闭项目的App Sandbox配置后编译运行，如果此时GUI应用可以正常获取到插槽，即可确认是权限配置问题，再按照业务需要逐步开启对应权限即可。

内容的提问来源于stack exchange，提问作者Ohtehands