macOS下使用ProcessBuilder调用open命令失败问题排查

我来一步步拆解你的问题，给你梳理解决方案——这在macOS上捆绑JRE的Java应用里是个很常见的痛点，尤其是涉及到Developer ID签名和pkg安装的场景。

1. 先搞懂核心问题的根源 #

你遇到的安全错误-67062是macOS Gatekeeper的典型拦截报错，和签名验证不通过直接相关。结合你提供的两个更新信息，问题的连锁反应是这样的：

• Oracle自带的jspawnhelper文件未签名，导致你捆绑JRE的.app整体签名失效；
• 当通过双击或open命令启动.app时，系统因为签名失效会限制该进程的权限，进而拦截它调用的open MyApp.pkg操作，抛出-67062；
• 而直接用Java命令启动时，绕开了.app的签名验证流程，所以权限不受限，pkg能正常打开。

另外你提到的spctl验证差异：不加--type install时pkg被拒绝，加了就通过，这是因为Gatekeeper默认不会把pkg归为“安装器类型”验证，直接调用open时验证逻辑不匹配，也是拦截的原因之一。

2. 先修复.app的签名问题（关键前提） #

要解决后续所有问题，必须先确保.app的签名完全有效，重点处理未签名的jspawnhelper：

• 找到你捆绑在.app里的JRE路径，比如MyApp.app/Contents/PlugIns/jre/Contents/Home/lib/jspawnhelper
• 用你的Developer ID Application证书重新签名这个文件：

  codesign -s "你的Developer ID Application证书全称" --force MyApp.app/Contents/PlugIns/jre/Contents/Home/lib/jspawnhelper
  

• 重新签名整个.app包，启用Hardened Runtime（现代macOS要求的安全特性）：

  codesign -s "你的Developer ID Application证书全称" --force --deep --options runtime MyApp.app
  

• 验证签名是否生效：

  spctl -a -v MyApp.app
  

  正常应该返回MyApp.app: accepted source=Developer ID。

3. 调整ProcessBuilder调用逻辑，避免Gatekeeper拦截 #

即使.app签名正常，直接用open MyApp.pkg仍可能因为验证逻辑问题被拦截，建议直接调用系统Installer的可执行文件，绕开open的中间流程：

// 替换原来的open命令调用，直接启动系统Installer
ProcessBuilder pb = new ProcessBuilder(
    "/System/Library/CoreServices/Installer.app/Contents/MacOS/Installer",
    "/绝对路径/到/你的/MyApp.pkg"
);
pb.inheritIO(); // 继承父进程IO，方便排查日志
Process p = pb.start();
int exitCode = p.waitFor();
// 可以根据exitCode判断安装是否正常启动

另外，在调用前可以先验证pkg的签名合法性，提前排查问题：

spctl -a -v --type install /绝对路径/到/你的/MyApp.pkg

返回accepted source=Developer ID才算验证通过。

4. 解决Installer抛出的Info.plist错误 #

你说pkg里已经包含Info.plist但仍报错，大概率是pkg的打包结构有问题，或者Info.plist的配置不符合要求：

• 检查.app bundle的Info.plist：确保MyApp.app/Contents/Info.plist存在，且包含NSPrincipalClass键，GUI应用通常设为NSApplication；
• 用官方工具重新打包pkg：不要手动打包，用pkgbuild或productbuild确保结构合规，比如：

  pkgbuild --component MyApp.app \
           --sign "你的Developer ID Installer证书全称" \
           --identifier com.yourcompany.myapp \
           --version 1.0 \
           MyApp.pkg
  

• 验证pkg内部结构：可以用以下命令展开pkg检查：

  pkgutil --expand MyApp.pkg MyApp-expanded
  

  进入展开后的目录，确认里面的.app bundle结构完整，Info.plist位置和内容正确。

最后验证流程 #

1. 重新签名.app和jspawnhelper，确保签名验证通过；
2. 用pkgbuild重新构建并签名pkg；
3. 双击.app启动，测试ProcessBuilder调用Installer的逻辑；
4. 查看Apple控制台，确认-67062错误消失，Installer正常启动。

内容的提问来源于stack exchange，提问作者GlobCoder