沙盒化macOS应用与内嵌命令行工具共享Keychain数据问题

兄弟，我太懂你这个痛点了——沙盒化的主应用和包里的命令行工具，哪怕在同一个容器里，Keychain权限也不会自动共享，默认就是两个独立的安全上下文。下面是我踩过坑后总结的靠谱解决方案：

1. 先搞定应用组配置，这是共享的基础 #

沙盒环境下要共享任何资源，第一步必须是把主应用和命令行工具归到同一个应用组里：

• 打开Xcode，选中主应用的target，切到Signing & Capabilities标签，添加App Groups能力，创建或选一个现成的组（格式一般是group.com.yourcompany.yourapp，记得用自己的域名）
• 同样操作命令行工具的target，添加同一个App Groups能力，选刚才创建的那个组
• 划重点：两者必须用同一个开发者账号签名，要是Xcode同步有问题，去Apple开发者后台的Identifiers里检查下应用组的配置是否生效

2. 存储Keychain项时必须指定应用组权限 #

用KeychainAccess存凭据的时候，一定要加上accessGroup参数，把项归到刚才的应用组里，不然同组的工具根本看不到：

import KeychainAccess

// 这里的service可以自定义，accessGroup必须和你配置的应用组ID一致
let keychain = Keychain(service: "com.yourcompany.yourapp.server-creds")
    .accessGroup("group.com.yourcompany.yourapp")

do {
    try keychain.set("your-server-password", key: "server-pass-key")
} catch {
    print("存密码翻车了: \(error)")
}

提醒一句：之前存过的旧Keychain项得先删掉重存，不然旧项的权限还是老样子，新配置不会自动覆盖

3. 给命令行工具配置沙盒和权限 #

别以为工具嵌在包里就不用管沙盒了，它也得有正确的权限才能访问共享项：

• 给命令行工具的target也加上App Sandbox能力
• 在沙盒的Keychain Sharing里，勾选你创建的那个应用组
• 工具的CFBundleIdentifier最好设成主应用ID的子ID（比如主应用是com.yourcompany.yourapp，工具就用com.yourcompany.yourapp.clitool），这样系统更容易识别两者的关联

4. 命令行工具访问Keychain的正确姿势 #

工具里访问的时候，必须和主应用用一模一样的service和accessGroup，不然肯定找不到：

import KeychainAccess

let keychain = Keychain(service: "com.yourcompany.yourapp.server-creds")
    .accessGroup("group.com.yourcompany.yourapp")

do {
    if let password = try keychain.get("server-pass-key") {
        print("拿到密码啦: \(password)")
    } else {
        print("没找到密码哦")
    }
} catch {
    print("拿密码翻车了: \(error)")
}

补充：主应用用Process（或者旧的NSTask）启动工具时，工具会在主应用的沙盒容器里运行，但前提是应用组配置对了，不然还是会弹授权框

5. 常见坑排查 #

要是还是弹授权框，试试这几个排查点：

• 打开Keychain Access.app，找到你的凭据，右键Get Info，在Access Control里看看是不是允许应用组或者命令行工具访问
• 检查签名：主应用和工具必须用同一个团队ID签名，不然系统认成两个陌生人
• 重置Keychain试试：有时候旧的权限缓存会搞事情，重置后重新存凭据再测试

内容的提问来源于stack exchange，提问作者jeff-h