检查你的 Mac 应用是否已签名并经过公证

代码签名能告诉你什么

Mac 应用的代码签名有两个作用。它通过 Apple 颁发给开发者的证书说明应用是谁制作的，并对应用内容加封，因此签名后被改动的任何文件都会破坏这个封印。公证则增加了第三层保障：开发者把这个确切的版本提交给了 Apple，Apple 在发布前对其进行了恶意软件扫描。

当你第一次打开下载的应用时，Gatekeeper 会用到以上所有信息，它通过浏览器为下载内容添加的隔离标记来识别这类应用。从磁盘复制过来的应用，或由会丢掉该标记的工具解压的应用，可能根本没有经过这项检查。

如何自己验证应用的代码签名

在“终端”中，可以用以下命令检查单个应用：

• codesign --verify --verbose=2 /Applications/Example.app 检查签名是否有效、应用是否未被改动。
• codesign -dvv /Applications/Example.app 显示是谁签名的，包括开发者的 Team ID。
• spctl --assess --type execute -vv /Applications/Example.app 询问 Gatekeeper 是否会允许该应用以及原因：出现 source=Notarized Developer ID 这一行就表示该应用已经过公证。

这样只能检查一个应用。App Signatures 则对所有应用一次完成。

App Signatures 检查什么

点击 Check Apps，Tidy My Mac 会读取 /Applications 和你自己的 ~/Applications 文件夹中的每个应用，包括下一级文件夹中的应用，例如 Utilities 中的应用。它会完整验证每个签名、每种架构和每个资源文件，因为这样才能发现签名后被改动的应用。整个过程大约需要一分钟。

属于 macOS 的应用（例如 Safari）会被排除在外：受封印的系统卷已经保证它们没有被改动。

每个应用会归入一个类别。值得你留意的类别列在下面：

其余所有应用会统计在一行摘要中：来自 Apple、来自 Mac App Store，以及来自其版本已获 Apple 公证的开发者的应用。如果没有需要你留意的内容，卡片上会这样说明。

属于这五个类别之一、同时又没有隔离标记的应用，会被标记为Never checked by Gatekeeper，因为它是通过 Gatekeeper 没有看到的某种方式进入你的 Mac 的。对于签名已损坏的应用，该行还会给出 macOS 自己对问题所在的描述。

发现问题后该怎么办

一项发现是让你去查看的理由，并不是恶意软件的证据。如果你不认识该应用，或者它不是来自其开发者本人，点击 Scan with Antivirus 即可直接在该行对该应用运行杀毒，放大镜图标则会在 Finder 中显示它。对于你信任但签名已损坏的应用，请从开发者处重新下载。如需移除应用，Uninstaller 会连同它的残留文件一起清除。

Gatekeeper 自身的设置是 Security Settings 评分的一部分。