签名代码为何会动态失效？Apple codesign工具-o kill选项作用解析

一、签名代码“动态失效”的核心原因 #

签名代码出现“动态失效”，本质是进程运行过程中，其签名的完整性或合法性被破坏，常见触发场景包括：

• 应用的二进制文件、资源文件被篡改（比如恶意注入、意外覆盖修改）
• 签名时计算的文件哈希值，与运行时实际文件的哈希不匹配
• 签名所用的证书被吊销、过期，或者系统信任列表更新导致证书不再被认可
• 运行环境的安全策略调整（比如开启了更严格的系统完整性保护），导致原本合法的签名不再符合要求

二、codesign -o kill选项的实际作用 #

当你使用Apple的codesign工具签名时，添加-o kill选项，对应底层的kSecCodeSignatureForceKill常量，它的核心作用是让系统对进程的签名状态做“全程监控”，一旦检测到失效就立刻终止进程。

官方描述里的“在启动时始终设置kSecCodeStatusKill状态标志”，翻译成更直白的说法就是：

这个标志会强制系统不仅在进程启动时做签名校验，在整个运行周期里都会持续检查——只要发现签名失效（比如上面提到的文件篡改），就直接杀掉进程，不给它继续执行的机会。

举个实际场景：假设你有一个签名后的Mac应用，正常运行时一切正常。如果有人在应用运行期间，偷偷替换了里面的某个插件二进制文件，系统的动态校验机制会立刻检测到哈希不匹配。这时候如果你的签名设置了-o kill，应用进程会被瞬间终止；如果没设置这个选项，系统可能只会标记签名失效，但允许进程继续运行（不过后续的系统权限请求会被拒绝，在高安全模式下最终还是会被终止）。

内容的提问来源于stack exchange，提问作者natevw