为何要签名

对 app 进行代码签名可让用户确信它来自已知来源，且自最后一次签名之后未被修改。在您的 Mac app 或 iOS app 可以使用商店服务，安装到 iOS 设备上进行开发或测试，或者提交到 App Store 之前，必须先使用 Apple 颁布的证书对其进行签名。

在 OS X 的安全性与隐私的设置里有一项设置是允许从以下位置下载的应用程序，默认的设置是Mac App Store 和被认可的开发者。

也就是说在用户不手动修改设置的情况下，用户无法打开未签名的程序。

使用 Developer ID 为 Mac App 签名 - 图1下面就来介绍如何使用 Developer ID 为 app 签名。

注意：本文不适用于发布到 Mac App Store 的签名。

如何签名

将你的 Apple ID 添加到 Xcode

  1. 打开 Xcode 的 Preferences。

  2. 选择 Accounts。

  3. 点击左下角的加号按钮。

  4. 填入你的 Apple ID。

加入一个 Program

在添加 Apple ID 的界面，你可以选择 Join a Program... 来加入一个 program。

你也可以让 program 的管理员来将你添加到你们公司的 program。

在 Xcode 中设置 signing identity

  1. 选择你项目的 target。

  2. 选择 General。

  3. 在 Signing 中选择 Developer ID。

  4. 在 Team 中选择你加入的 program。

创建 Developer ID certificate

方法一：

首先在自己的电脑上使用钥匙串访问来创建一个certificate signing request (CSR)。

  1. 打开钥匙串访问，在菜单栏中选择钥匙串访问 > 证书助理 > 从证书颁发机构请求证书。

  2. 填入你的邮件地址和常用名，选择下方的存储到磁盘，点击继续选择文件位置保存即可。

  3. 管理员在 Member Center 里面的Certificates, Identifiers & Profiles页面中，选择Certificates下方的All。

  4. 选择右上角的加号按钮。

  5. 选择Production下方的Developer ID。

  6. 选择证书类型Developer ID Application，点击Continue。

  7. 选择前面生成的 CSR（扩展名是 .certSigningRequest） 文件，点击Continue。

  8. 选择Generate并且下载证书。

  9. 将证书导入到 Keychain 中。

方法二：

  1. 打开 Xcode 的偏好设置，选择Accounts选项卡，选择加入的 program，点击View Details。

  2. 此时 Xcode 没有找到任何证书，会提示是否要帮你申请证书，此时只要选择以The Developer ID Application开头的选项即可。（也可以点击左边的加号来添加一个Developer ID Distribution）

  3. 等待 program 的管理员来审批。

验证：

方法一：

在 Xcode 的 Preference > Accounts 中选择加入的 program，选择 View Details...，应该能看到一项 Developer ID Application。

方法二：

在钥匙串访问中能找到一个名为 Developer ID Application: Your Company Name 的证书。

签名

方法一（使用 Xcode 签名）：

  1. 选择菜单中的 Product > Archive。

  2. （可选）选择 Validate... 来验证打包。

  3. 点击 Export...

  4. 按照提示选择 Export a Developer ID-signed Application。

  5. 选择一个 team。

  6. 输入文件名，保存即可。

但是使用 Xcode 签名有可能会失败，下面的签名验证部分会提到。

方法二（使用命令行）：

  1. codesign --force --verbose=4 --sign "Developer ID Application: Your Company Name" Foo.app

codesign 要求项目中包含的所有框架、库都已经被签名，并且 codesign 不会自动帮你完成，这需要我们单独为每一个库进行签名后再为整个 app 签名。

签名或验证一个 framework 时使用的路径是MyCustomFramework/Versions/A，比如

  1. codesign -s "Developer ID Application: Your Company Name" ../MyCustomFramework/Versions/A

签名时不要使用--deep参数。

如果 framework 签名失败，可能是由于

  • Info.plist 文件中的 CFBundleExecutable 值与可执行文件的文件名不一致。

  • 目录结构不对（比如 QT），framework 的目录结构必须与下面完全一样。

  1. MyFramework.framework/
  2.     MyFramework  -> Versions/Current/MyFramework
  3.     Resources    -> Versions/Current/Resources
  4.     Versions/
  5.         A/
  6.             MyFramework
  7.             Resources/
  8.                 English.lproj/
  9.                     InfoPlist.strings
  10.                 Info.plist
  11.         Current  -> A

签名验证

输入下面的命令：

  1. spctl -a -v Foo.app

如果验证通过，则会提示：

  1. Foo.app: accepted  
  2. source=Developer ID  
  3. origin=Developer ID Application: Your Company Name

出现下面的提示：

  1. Foo.app: rejected  
  2. source=obsolete resource envelope

此时如果用户通过浏览器或者邮箱接收到安装包再打开 app 时就会提示文件已损坏。

解决方法：

使用下面的命令

  1. codesign --verify --deep --verbose=3 /path/to/signed/app

找出验证不通过的重新签名，再重新签名整个 app 即可。

脚本

下面是我用来签名的脚本。

  1. #!/usr/bin/python
  3. import os
  4. import commands
  6. APP_PATH = "/path/to/Foo.app"
  7. DEVELOPER_ID = "Developer ID Application: Your Awesome Company"
  9. def signWithPath(path):
  10.     signCommand = "codesign --force --sign \"%s\" \"%s\"" % (DEVELOPER_ID, path)
  11.     retCode, result = commands.getstatusoutput(signCommand)
  12.     if retCode != 0:
  13.         print result
  14.         print "code sign failed"
  15.     return retCode
  17. def validateWithPath(path):
  18.     signCommand = "codesign --verify --deep --verbose=3 \"%s\"" % path
  19.     retCode, result = commands.getstatusoutput(signCommand)
  20.     if retCode == 0:
  21.         print "Accepted!"
  22.         return 0
  23.     else:
  24.         print result
  25.         print "Rejected!"
  26.         return -2
  28. def sign():
  29.     print "> signing frameworks & dylibs..."
  31.     if not os.path.exists(APP_PATH):
  32.         print "where's your app?!"
  33.         return
  35.     frameworkDir = os.path.join(APP_PATH, "Contents/")
  37.     # sign dylibs
  38.     for root, dirs, files in os.walk(frameworkDir):
  39.         for f in files:
  40.             if f.endswith(".dylib"):
  41.                 print "signing", f
  42.                 dylibPath = os.path.join(root, f)
  43.                 signWithPath(dylibPath)
  45.     # sign frameworks
  46.     for root, dirs, files in os.walk(frameworkDir):
  47.         for d in dirs:
  48.             if d.endswith(".framework"):
  49.                 print "signing", d
  50.                 frameworkPath = os.path.join(root, d, "Versions/A")
  51.                 signWithPath(frameworkPath)
  54.     print "> singing app..."
  55.     print "singing", APP_PATH
  56.     signWithPath(APP_PATH)
  58.     print "> validate code sign..."
  59.     if validateWithPath(APP_PATH) == 0:
  60.         print "Code sign completed!"
  61.     else:
  62.         print "Dohhh!"
  65. if __name__ == '__main__':
  66.     sign()

参考

https://developer.apple.com/library/mac/documentation/IDEs/Conceptual/AppDistributionGuide/MaintainingCertificates/MaintainingCertificates.html#//apple_ref/doc/uid/TP40012582-CH31-SW30

http://furbo.org/2013/10/17/code-signing-and-mavericks/

https://github.com/sunuslee/sunus-cookbook/blob/master/Cocoa/codesign.md