OSX 10.12.6下Finder Sync Extension调用setxattr/getxattr遇EPERM权限问题

我之前帮不少开发者排查过沙箱环境下的文件操作权限问题，你遇到的EPERM错误确实是因为Finder Sync Extension运行在严格的沙箱环境中，默认没有足够的文件访问权限。结合你的场景（命令行xattr可正常操作），以下是具体的权限配置和解决步骤：

1. 配置App Sandbox文件访问Entitlements #

Finder Sync Extension的沙箱权限是独立于主应用的，你需要在extension的target中配置对应的文件访问权限：

• 打开Xcode，选中你的Finder Sync Extension target，进入Capabilities面板；
• 找到App Sandbox选项，确保它处于启用状态；
• 在File Access区域，根据你要操作的文件位置勾选对应权限：
  • 如果是用户手动选择的文件/目录：勾选「User Selected File」的Read/Write；
  • 如果是系统预设目录（比如Documents、Downloads）：勾选对应目录的Read/Write；
  • 如果需要访问任意位置的文件（不推荐除非必要）：添加com.apple.security.files.all-files entitlement（可在entitlements文件中手动添加键值对，或者在Capabilities面板中找对应选项）。

2. 验证Entitlements文件的正确性 #

确保extension的entitlements文件（通常命名为YourExtensionName.entitlements）包含正确的权限配置，比如允许用户选择文件读写的配置如下：

<key>com.apple.security.files.user-selected.read-write</key>
<true/>

如果需要全文件访问，配置为：

<key>com.apple.security.files.all-files</key>
<true/>

注意：提交App Store时，all-files权限需要详细说明用途，苹果会进行严格审核。

3. 持久化访问：使用Security-Scoped Bookmarks #

如果你的extension需要在重启后仍能访问目标文件，仅靠entitlements是不够的，需要借助Security-Scoped Bookmarks来获取持久化权限：

• 先让用户通过系统的Open/Save对话框选择目标文件/目录，得到对应的NSURL；
• 调用bookmarkData(options:includingResourceValuesForKeys:relativeTo:)创建bookmark数据；
• 将bookmark数据存储到安全位置（比如UserDefaults）；
• 下次需要访问时，用URL(resolvingBookmarkData:options:relativeTo:bookmarkDataIsStale:)解析bookmark，并调用startAccessingSecurityScopedResource()获取访问权限；
• 操作完成后，记得调用stopAccessingSecurityScopedResource()释放权限。

4. 测试与排查 #

• 配置完成后，清理Xcode缓存，重新编译并运行extension；
• 如果仍出现EPERM错误，可以尝试在代码中打印当前沙箱权限状态，或者使用sandbox-exec工具模拟沙箱环境测试权限配置是否生效；
• 确认目标文件的所有者确实是当前用户，且文件权限没有特殊限制（比如只读）。

补充：命令行的xattr工具运行在沙箱之外，不受这些权限限制，这就是为什么它能正常工作而extension不行。

内容的提问来源于stack exchange，提问作者user1387