MacOS XPC沙箱mach-lookup权限失效，临时例外可正常工作

问题1：非App Store分发场景下，用临时权限替代常规权限是否合规？ #

• 对于MDM/手动分发的应用，临时mach-lookup例外是可接受的替代方案，但并非最佳实践：
  • 优先使用常规沙箱权限，临时例外会绕过部分安全检查，存在潜在风险。
  • 若常规权限配置后始终触发159错误，临时例外可以作为过渡方案——毕竟企业MDM分发的环境通常是受控的，风险可控。
  • 即使使用临时例外，也要严格限制服务名称范围，必须带团队ID前缀，避免与其他应用冲突。

问题2：ES系统扩展和主应用能不能建立XPC连接？配置要求是什么？ #

• 完全可以建立XPC连接，但要满足以下核心配置要求：
  1. 服务名称格式：必须采用[你的团队ID].com.xxx.yyy的格式，团队ID不可省略，后缀用反向域名保证全局唯一。
  2. 开发者后台配置：
     • 前往Certificates, Identifiers & Profiles，为主应用和系统扩展的标识符都添加Mach Services功能，将你的服务名称填入列表。
     • 确保两者的签名都包含对应的Mach服务权限。
  3. 权限配置细节：
     • 系统扩展的权限文件中，com.apple.security.xpc.server和NSEndpointSecurityMachServiceName的服务名称必须完全一致。
     • 主应用的常规沙箱权限应使用com.apple.security.mach-lookup而非临时例外，配置示例：

       <key>com.apple.security.mach-lookup</key>
       <array>
           <string>[TEAMID]com.[UNIQUE_ID]</string>
       </array>
       

       你之前遇到的159错误，大概率是因为未在开发者后台注册该Mach服务，导致常规沙箱权限不被系统认可，而临时例外绕过了这个校验才生效。
  4. 代码注意事项：
     • 系统扩展创建XPC服务器时，使用XPC_CONNECTION_MACH_SERVICE_LISTENER标志是正确的，无需添加XPC_CONNECTION_MACH_SERVICE_PRIVILEGED（该标志适用于特权系统服务）。
     • 主应用连接时无需特殊标志，只要服务名称与扩展端完全匹配即可。

额外排查建议 #

• 确认主应用和系统扩展使用同一团队ID的证书签名，服务名称中的团队ID无拼写错误。
• 用systemextensionsctl list命令检查扩展是否已激活，未激活的扩展无法启动XPC服务器。
• 在系统扩展的XPC服务器代码中添加日志，确认xpc_connection_resume已调用，且事件处理器配置正确。

内容的提问来源于stack exchange，提问作者justenx