Electron应用在Mac上被误报病毒5分钟搞定签名与公证全流程最近收到不少Electron开发者反馈辛苦开发的应用在Mac上被系统误判为恶意软件。用户要么无法安装要么被迫在系统偏好设置中手动降低安全等级才能运行——这显然不是理想的用户体验。作为经历过同样困境的开发者我完全理解这种挫败感。本文将用最简洁的方式带你快速完成从代码签名到苹果公证的全流程彻底解决Mac平台的误报问题。1. 为什么Mac会拦截你的Electron应用当用户首次打开未签名的应用时MacOS会弹出无法验证开发者的警告。从10.15 Catalina开始系统进一步要求应用必须经过苹果公证(Notarization)。这两个安全机制共同构成了Gatekeeper防护体系代码签名相当于开发者的数字身份证证明应用来源可信公证流程苹果服务器会扫描应用内容确认不含恶意代码提示即使应用完全无害缺少这两个步骤也会触发系统警告。用户通常看到的是已损坏无法打开这类误导性提示。常见误区对照表错误认知实际情况我的应用很安全不需要签名所有第三方分发应用都必须签名用开发者证书签名就够了公证已成为MacOS的强制要求让用户关闭SIP就能解决会降低系统安全性非专业用户操作困难2. 准备工作获取开发者证书首先确保你拥有有效的Apple开发者账号年费$99。接着按步骤生成必备证书打开钥匙串访问 → 证书助理 → 从证书颁发机构请求证书填写开发者邮箱和常用名称选择存储到磁盘生成.certSigningRequest文件登录开发者后台创建Developer ID Application证书上传刚才的CSR文件下载生成的.cer证书双击安装证书后在钥匙串中导出为.p12格式需设置密码关键环境变量配置# 添加到.zshrc或.bash_profile export CSC_LINK$HOME/path/to/cert.p12 export CSC_KEY_PASSWORDyour_password验证证书是否生效security find-identity -v | grep Developer ID3. 自动化签名与打包推荐使用electron-builder进行一体化处理。在package.json中添加build: { mac: { identity: Developer ID Application: Your Name (XXXXXXXXXX), hardenedRuntime: true, gatekeeperAssess: false, entitlements: entitlements.mac.plist, entitlementsInherit: entitlements.mac.plist } }必备的entitlements文件内容?xml version1.0 encodingUTF-8? !DOCTYPE plist PUBLIC -//Apple//DTD PLIST 1.0//EN http://www.apple.com/DTDs/PropertyList-1.0.dtd plist version1.0 dict keycom.apple.security.cs.allow-jit/key true/ keycom.apple.security.cs.allow-unsigned-executable-memory/key true/ keycom.apple.security.cs.disable-library-validation/key true/ /dict /plist执行构建命令electron-builder --mac --x64 --publish never构建完成后用以下命令验证签名状态codesign -dv --verbose4 /path/to/YourApp.app spctl -a -t exec -vv /path/to/YourApp.app4. 公证流程实战指南从Xcode 13开始必须使用notarytool替代旧的altool。首先创建App专用密码访问Apple ID账户页面在安全部分生成专用密码记下16位字符提交公证请求xcrun notarytool submit YourApp.zip \ --apple-id youremail.com \ --password xxxx-xxxx-xxxx-xxxx \ --team-id XXXXXXXXXX \ --wait实时查询进度xcrun notarytool history \ --apple-id youremail.com \ --password xxxx-xxxx-xxxx-xxxx \ --team-id XXXXXXXXXX公证成功后为应用添加公证票据xcrun stapler staple /path/to/YourApp.app验证公证结果xcrun stapler validate /path/to/YourApp.app spctl -a -v /path/to/YourApp.app5. 持续集成优化方案对于团队项目建议将流程整合到CI/CD中。以下是GitHub Actions配置示例name: Mac Build on: push jobs: build: runs-on: macos-latest steps: - uses: actions/checkoutv3 - name: Install dependencies run: npm install - name: Build app run: | export CSC_LINK${{ secrets.CSC_LINK }} export CSC_KEY_PASSWORD${{ secrets.CSC_KEY_PASSWORD }} npm run build - name: Notarize run: | xcrun notarytool submit dist/YourApp.zip \ --apple-id ${{ secrets.APPLE_ID }} \ --password ${{ secrets.APPLE_PASSWORD }} \ --team-id ${{ secrets.APPLE_TEAM_ID }} \ --wait xcrun stapler staple dist/YourApp.app常见问题处理ERROR: The signature is invalid→ 检查entitlements配置The binary is not signed→ 确认CSC环境变量已正确设置Timed out waiting for notarization→ 增加--wait参数延长等待时间完成所有步骤后你的Electron应用将获得如下安全标识蓝色已验证徽章平滑的首次打开体验在任意MacOS版本上无障碍运行 Electron应用在Mac上被误报病毒？5分钟搞定签名与公证全流程
Electron应用在Mac上被误报病毒5分钟搞定签名与公证全流程最近收到不少Electron开发者反馈辛苦开发的应用在Mac上被系统误判为恶意软件。用户要么无法安装要么被迫在系统偏好设置中手动降低安全等级才能运行——这显然不是理想的用户体验。作为经历过同样困境的开发者我完全理解这种挫败感。本文将用最简洁的方式带你快速完成从代码签名到苹果公证的全流程彻底解决Mac平台的误报问题。1. 为什么Mac会拦截你的Electron应用当用户首次打开未签名的应用时MacOS会弹出无法验证开发者的警告。从10.15 Catalina开始系统进一步要求应用必须经过苹果公证(Notarization)。这两个安全机制共同构成了Gatekeeper防护体系代码签名相当于开发者的数字身份证证明应用来源可信公证流程苹果服务器会扫描应用内容确认不含恶意代码提示即使应用完全无害缺少这两个步骤也会触发系统警告。用户通常看到的是已损坏无法打开这类误导性提示。常见误区对照表错误认知实际情况我的应用很安全不需要签名所有第三方分发应用都必须签名用开发者证书签名就够了公证已成为MacOS的强制要求让用户关闭SIP就能解决会降低系统安全性非专业用户操作困难2. 准备工作获取开发者证书首先确保你拥有有效的Apple开发者账号年费$99。接着按步骤生成必备证书打开钥匙串访问 → 证书助理 → 从证书颁发机构请求证书填写开发者邮箱和常用名称选择存储到磁盘生成.certSigningRequest文件登录开发者后台创建Developer ID Application证书上传刚才的CSR文件下载生成的.cer证书双击安装证书后在钥匙串中导出为.p12格式需设置密码关键环境变量配置# 添加到.zshrc或.bash_profile export CSC_LINK$HOME/path/to/cert.p12 export CSC_KEY_PASSWORDyour_password验证证书是否生效security find-identity -v | grep Developer ID3. 自动化签名与打包推荐使用electron-builder进行一体化处理。在package.json中添加build: { mac: { identity: Developer ID Application: Your Name (XXXXXXXXXX), hardenedRuntime: true, gatekeeperAssess: false, entitlements: entitlements.mac.plist, entitlementsInherit: entitlements.mac.plist } }必备的entitlements文件内容?xml version1.0 encodingUTF-8? !DOCTYPE plist PUBLIC -//Apple//DTD PLIST 1.0//EN http://www.apple.com/DTDs/PropertyList-1.0.dtd plist version1.0 dict keycom.apple.security.cs.allow-jit/key true/ keycom.apple.security.cs.allow-unsigned-executable-memory/key true/ keycom.apple.security.cs.disable-library-validation/key true/ /dict /plist执行构建命令electron-builder --mac --x64 --publish never构建完成后用以下命令验证签名状态codesign -dv --verbose4 /path/to/YourApp.app spctl -a -t exec -vv /path/to/YourApp.app4. 公证流程实战指南从Xcode 13开始必须使用notarytool替代旧的altool。首先创建App专用密码访问Apple ID账户页面在安全部分生成专用密码记下16位字符提交公证请求xcrun notarytool submit YourApp.zip \ --apple-id youremail.com \ --password xxxx-xxxx-xxxx-xxxx \ --team-id XXXXXXXXXX \ --wait实时查询进度xcrun notarytool history \ --apple-id youremail.com \ --password xxxx-xxxx-xxxx-xxxx \ --team-id XXXXXXXXXX公证成功后为应用添加公证票据xcrun stapler staple /path/to/YourApp.app验证公证结果xcrun stapler validate /path/to/YourApp.app spctl -a -v /path/to/YourApp.app5. 持续集成优化方案对于团队项目建议将流程整合到CI/CD中。以下是GitHub Actions配置示例name: Mac Build on: push jobs: build: runs-on: macos-latest steps: - uses: actions/checkoutv3 - name: Install dependencies run: npm install - name: Build app run: | export CSC_LINK${{ secrets.CSC_LINK }} export CSC_KEY_PASSWORD${{ secrets.CSC_KEY_PASSWORD }} npm run build - name: Notarize run: | xcrun notarytool submit dist/YourApp.zip \ --apple-id ${{ secrets.APPLE_ID }} \ --password ${{ secrets.APPLE_PASSWORD }} \ --team-id ${{ secrets.APPLE_TEAM_ID }} \ --wait xcrun stapler staple dist/YourApp.app常见问题处理ERROR: The signature is invalid→ 检查entitlements配置The binary is not signed→ 确认CSC环境变量已正确设置Timed out waiting for notarization→ 增加--wait参数延长等待时间完成所有步骤后你的Electron应用将获得如下安全标识蓝色已验证徽章平滑的首次打开体验在任意MacOS版本上无障碍运行