gatekeeper并不判断应用是否安全，而是验证签名是否完整、可信且符合策略；它不扫描病毒，只校验开发者身份和代码未被篡改，这才是“无法验证开发者”等提示的真实含义。
macos gatekeeper 并不直接判断“应用是否安全”，而是验证“签名是否完整、可信且符合当前策略”。它不扫描病毒，只校验开发者身份和代码未被篡改——这才是“已损坏”“无法验证开发者”等提示的真实含义。
签名完整性：不只是“有没有签”，而是“签得对不对”
一个有效的签名必须同时满足四个条件：证书在有效期内、未被苹果吊销、签名数据与二进制内容完全匹配、证书链能回溯至 Apple Root CA。哪怕只缺中间证书或时间戳失效，codesign -dv 就会显示 valid on disk: no 或 Authority 字段异常。
- 用
codesign -dv --verbose=4 /Applications/YourApp.app查看 Authority 和 TeamIdentifier 是否正常 - 检查输出中是否有 notarized: yes —— macOS 10.15+ 要求 Developer ID 应用必须公证，否则 Gatekeeper 拒绝放行
- 若提示 signature failed verification 或 code object is not signed at all，说明签名缺失或已被破坏
隔离属性（quarantine）是触发 Gatekeeper 的开关
从网络下载的 App 自动带 com.apple.quarantine 扩展属性，这是 Gatekeeper 启动首次验证的依据。它不是“病毒标记”，只是系统识别“外来软件”的机制。
PyCharm 2026.2.0.1 Mac版
下载
PyCharm 2026.2.0.1 Mac版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合在macOS系统上进行 Python 项目开发、运行、调试和测试。
- 运行
xattr -l /Applications/YourApp.app可查看该属性是否存在 - 若存在但签名无效，Gatekeeper 会拦截；若手动删掉（
xattr -d com.apple.quarantine），虽能绕过首次弹窗，但不解决签名问题，且下次从网络重新下载仍会恢复 - 真正修复应聚焦签名与公证，而非清除 quarantine
Gatekeeper 策略决定“谁有资格进门”
Gatekeeper 不是全有或全无的开关，它按来源分级放行：App Store 应用最宽松，公证的 Developer ID 应用次之，未公证或 ad-hoc 签名的应用默认被拒。
- 当前策略可用
spctl --status查看，返回 assessments enabled 表示启用 - 临时放行某应用：在“系统设置 → 隐私与安全性”里找到对应拦截记录，点“仍要打开”——这仅授权一次，不修改签名
- 禁用 Gatekeeper（
spctl --master-disable）会整体削弱防护，不建议用于解决签名问题
运行时完整性保护才是最终防线
即使通过 Gatekeeper，应用启动后还会受 Hardened Runtime、Sandbox 和 SIP 限制。比如 Electron 应用若没启用 hardened runtime 或缺少必要 entitlements，可能在运行中崩溃或被系统终止。
- 签名时需明确开启
hardenedRuntime: true，并配置正确 entitlements.plist - 用
codesign --display --entitlements - YourApp.app检查权限声明是否写入 - 若应用尝试读取用户文件、调用 Accessibility API 或加载未签名插件，缺失对应 entitlement 会导致静默失败
