macos应用信任控制核心是公证与开发者id签名验证，而非证书信任路径；若被拦截，需用spctl和codesign检查状态，或通过右键打开、清除quarantine属性临时绕过，企业场景可启用“任何来源”策略。
macos 对新安装应用的信任控制，核心在于“公证（notarization）”与“开发者id签名”验证，而非传统意义上的“证书信任路径”配置。系统会自动检查应用是否来自已知开发者、是否通过 apple 公证服务扫描、是否被用户明确允许运行。若应用被拦截（如提示“已损坏，无法打开”或“无法验证开发者”），说明信任链在某个环节中断，需针对性修复。
确认应用签名与公证状态
这是排查的第一步。系统拒绝运行，往往因为签名无效、缺失，或公证失败：
- 在终端中执行：spctl --assess -v /Applications/你的应用.app，查看返回结果中的accepted（通过）、rejected（拒绝）或invalid（签名损坏）状态
- 若提示"source=Unnotarized Developer ID"，说明应用虽有开发者ID签名，但未提交 Apple 公证；若为"source=Developer ID"且无notarized字样，也属未公证
- 用codesign -dv --verbose=4 /Applications/你的应用.app可进一步查看签名时间、团队ID、证书有效期等细节
临时绕过 Gatekeeper（仅限可信来源）
对已确认安全但尚未公证的应用（如内部测试版、自研工具），可通过右键菜单或终端临时授权：
- 图形方式：在访达中右键点击应用 → 选择“打开” → 在弹出的警告框中点“仍要打开”（该选项仅在首次运行时出现）
- 终端方式：执行xattr -rd com.apple.quarantine /Applications/你的应用.app，清除隔离属性，之后即可双击启动
- 注意：此操作不改变签名本身，也不影响系统级信任库，仅解除 macOS 的下载来源防护机制
永久允许特定开发者或应用类型
适用于企业环境或长期使用某类未公证工具的场景，需调整系统级安全策略：
- 前往“系统设置”→“隐私与安全性”→滚动到底部“安全性”板块，点击右下角锁形图标解锁
- 在“允许从以下位置下载的应用程序”中，勾选“App Store 和已识别的开发者”（默认项）；如需更宽松控制，可启用“任何来源”（macOS Ventura 及更新版本需先在终端执行sudo spctl --master-disable，再重启生效）
- 该设置影响全局，不针对单个应用，启用后建议配合定期审查已安装软件来源
避免误操作导致信任异常
某些手动干预可能破坏系统信任基础，需特别注意：
- 不要随意修改“系统”钥匙串中的根证书信任策略，尤其是 ISRG Root X1、Apple Root CA 等公共根证书——这会影响 Safari、邮件、App Store 等所有依赖 HTTPS 的功能
- 不要删除或禁用“钥匙串访问”中“系统”钥匙串下的蓝色锁形 Root CA 证书，它们是 macOS 默认信任锚点
- 若已误操作导致大面积网络错误（如浏览器频繁报证书无效），应使用“钥匙串访问”→“偏好设置”→“信任”→“重置”恢复出厂信任状态
