macOS 如何在 Xcode 中使用开发者证书进行应用重签名测试

Xcode中对macOS应用重签名需先明确目的并选对证书：本地调试用Mac Development证书，分发用Developer ID Application证书，App Store提交则需Mac App Distribution证书加已注册Bundle ID；关闭自动签名后手动选择证书，再用codesign -dv和spctl -a验证签名有效性与Gatekeeper信任状态。

在 Xcode 中对 macOS 应用进行重签名测试，核心是替换原有签名、绑定新证书，并确保 Gatekeeper 能正常验证。这不是简单点击“重新签名”就能完成的操作，而是需要明确目标（本地调试？分发给他人？）、选对证书类型、并验证签名有效性。

确认重签名目的与对应证书

重签名前先判断你要达成的效果：

1. 仅在自己 Mac 上调试运行：用免费账号生成的 Mac Development 证书即可。Xcode 自动管理时会为你创建和续期，有效期虽标为 7 天，但后台自动刷新，无需手动干预。
2. 分发给其他用户测试（非 App Store）：必须使用付费账号下的 Developer ID Application 证书。免费账号无法生成此类型证书，也无法通过公证（Notarization）。
3. 提交到 Mac App Store：需用 Mac App Distribution 证书 + 对应的 App Store Provisioning Profile，且 Bundle ID 必须已在开发者后台注册。

在 Xcode 中执行重签名操作

重签名不是独立功能，而是通过修改签名设置触发 Xcode 重新打包并签名：

1. 打开项目 → 点击项目导航器中的项目名 → 选择目标（Target）→ 进入 Signing & Capabilities 标签页。
2. 关闭 Automatically manage signing（自动管理），切换为手动模式——这是重签名的关键一步，否则 Xcode 会忽略你指定的证书。
3. 在 Signing Certificate 下拉菜单中，选择你已导入钥匙串的对应证书（如 “Apple Development: xxx” 或 “Developer ID Application: xxx”）。
4. 确保 Bundle Identifier 与证书允许的范围匹配（例如 Developer ID 证书不限制 Bundle ID，但 Mac App Distribution 证书要求 ID 已在后台注册）。
5. 若出现红色报错（如 “No matching provisioning profile found”），说明缺少对应描述文件。macOS 开发中多数情况可留空 Profile，但 App Store 分发必须关联有效 Profile。

验证重签名是否生效

编译后不能只看是否能运行，要确认签名被真正写入：

1. 在终端中执行：codesign -dv --verbose=4 "YourApp.app"，查看输出中的 Authority 字段是否为你选择的证书名称。
2. 检查 Gatekeeper 验证结果：spctl -a -t exec -v "YourApp.app"。返回 “accepted” 表示签名通过系统验证；若提示 “rejected” 或 “invalid”, 说明证书不匹配、私钥缺失或应用被篡改。
3. 双击安装包运行时，若不再弹出“无法验证开发者”警告，且应用图标左下角无黄色警告三角，基本表明重签名成功。

常见失败原因与快速修复

重签名失败往往卡在底层信任链上：

1. 证书没私钥：在“钥匙串访问”中展开证书，确认下方有“密钥”分支且显示“已解锁”。没有则需重新用 CSR 创建证书。
2. Xcode 不识别证书：运行 security find-identity -v -p codesigning 查看可用证书列表。若列表为空，重启 Xcode 或重新双击 .cer 文件导入。
3. 签名后仍被拦截：可能是未公证（Developer ID 场景下必须公证才能绕过 Gatekeeper 默认拦截）。登录开发者后台提交公证，或使用 xcrun notarytool submit 命令行工具。
4. Bundle ID 冲突：特别是从他人处获取的 .app，其 Info.plist 中 Bundle ID 可能与你的证书不兼容。可在 Xcode 的 Info 标签页中直接修改，或用脚本批量替换。