KEXT迁移到DEXT时PCIDriverKit权限校验失败，如何访问所有PCI设备

• 你遇到的两类报错分别对应两个核心问题：
  • 内核日志的Entitlements check失败：DEXT的DriverKit权限规则与KEXT不同，即使关闭SIP，DEXT的PCI设备匹配规则必须和签名携带的entitlement完全对应，且不能超出授权范围
  • amfid报错-67050：本地签名的DEXT没有苹果官方颁发的DriverKit权限背书，默认会被amfi（苹果移动文件完整性）服务拦截

1. 修正PCI匹配规则
   • 不要使用IOPCIPrimaryMatch，改用IOPCIMatch字段，要匹配所有PCI设备，entitlement和Info.plist里的IOKitPersonalities条目都要填写值为0x0&0x0，注意两个地方的匹配规则必须完全一致
   • 你之前填写的0x12345678&0x00000000逻辑无效，和掩码做与运算后固定为0，仅能匹配PID/VID组合为0x12345678的设备，无法覆盖所有PCI设备
2. 跳过amfi校验（开发阶段专用）
   • 重启进入恢复模式，打开终端执行以下命令添加启动参数：

     nvram boot-args="amfi_get_out_of_my_way=1 ipc_control_port_options=0"
     

   • 重启回到系统后，再次确认系统扩展开发者模式已开启：

     systemextensionsctl developer on
     

3. 清理旧缓存重新签名安装
   • 先卸载所有已安装的旧版本驱动扩展：

     systemextensionsctl list | grep com.MyDriver | awk '{print $3}' | xargs -I {} systemextensionsctl uninstall {} com.MyDriver
     

   • 在Xcode中清理构建缓存（Product -> Clean Build Folder），重新用「Sign to run locally」选项构建安装即可

• 该方案仅适用于本地开发阶段，正式发布的DEXT必须向苹果申请特殊的DriverKit全PCI设备访问权限，否则无法通过官方签名校验
• 部分系统内置PCI设备（如T2安全芯片、内置网卡/显卡等）即使配置了全匹配规则，macOS内核也会限制第三方DEXT访问，避免破坏系统稳定性

内容的提问来源于stack exchange，提问作者jreing