macos-gatekeeper-blocked

macOS 因 Gatekeeper、公证或隔离属性阻止应用打开时的定位与修复

现象

双击应用后弹窗提示“无法打开，因为 Apple 无法检查其是否包含恶意软件”“无法验证开发者”，或直接提示“已损坏，无法打开，你应该将它移到废纸篓”。从终端启动时可能只得到一句 Killed: 9、Operation not permitted，或应用闪退；系统日志里能看到 syspolicyd、amfid 或 Gatekeeper 相关拒绝记录。

“已损坏”并不等于文件真的损坏：下载不完整、架构不匹配、隔离属性、translocation、签名被破坏或未公证，都可能得到同一句提示。先确认应用来自哪里、签名和公证状态如何，再决定是重新下载、放行，还是让开发者修复签名。

快速定位

先看隔离属性和下载来源：

xattr -l /Applications/Example.app
xattr -p com.apple.quarantine /Applications/Example.app
mdls -name kMDItemWhereFroms -name kMDItemDownloadedDate /Applications/Example.app

com.apple.quarantine 的值通常由标志、时间戳、下载代理和应用名组成；存在该属性说明文件来自下载、邮件或其他被标记的来源。没有隔离属性仍被拦截，则更可能是签名、公证或系统策略问题。

再检查 Gatekeeper 评估、代码签名和公证票据：

spctl --status
spctl --assess --type execute --verbose=4 /Applications/Example.app
codesign --verify --deep --strict --verbose=2 /Applications/Example.app
codesign -dv --verbose=4 /Applications/Example.app
xcrun stapler validate /Applications/Example.app
syspolicy_check distribution /Applications/Example.app --verbose

spctl 的输出会给出 accepted 或 rejected 及来源；codesign 检查签名链、Team ID、硬运行时和嵌套代码是否完整；stapler validate 确认公证票据是否已附加。syspolicy_check distribution 使用与系统一致的检查项，适合开发者定位“为什么这台机器上打不开”。最后确认架构和应用位置：

file /Applications/Example.app/Contents/MacOS/Example
lipo -archs /Applications/Example.app/Contents/MacOS/Example

Apple 芯片机器运行仅含 Intel 架构的应用需要 Rosetta；从磁盘映像或“下载”目录直接运行还可能触发 translocation，应用会从随机只读路径启动，导致资源找不到或更新失败。

常见根因

1. 应用未签名或使用临时签名，Gatekeeper 无法建立可信身份。
2. 使用 Developer ID 签名但未提交公证，或公证失败后仍分发给用户。
3. 已公证但没有附加票据，且当前网络无法向 Apple 查询公证记录。
4. 下载不完整、校验和不匹配，或应用被解压工具、同步工具破坏。
5. 隔离属性存在，且应用不是用户主动信任的来源；从浏览器、聊天工具、U 盘复制都可能带上该属性。
6. 应用从 DMG、“下载”目录或网络卷直接运行，触发 translocation 或权限问题。
7. 应用被修改过，签名失效；或内嵌框架、插件、命令行工具的签名不完整。
8. 证书过期、被吊销，Team ID 与签名不匹配，或硬运行时与权限配置不符合公证要求。
9. 应用只有 Intel 架构，机器缺少 Rosetta；或应用只有当前机器不支持的架构。
10. MDM 配置描述文件限制应用安装或运行，或安全软件、家长控制拦截。
11. 系统时间错误或 TLS 被拦截，导致公证查询和证书校验失败。

修复

先确认来源可信。只对从官方渠道下载、能核对校验和或签名的应用放行；来源不明的应用不要通过删除隔离属性来绕过保护。

如果确认可信，可在“系统设置 > 隐私与安全性”中尝试打开：先双击应用触发提示，再到该设置页点击“仍要打开”。较新的 macOS 已弱化右键打开的绕过方式，以设置页的放行入口为准。终端方式仅在明确知道风险时使用：

xattr -p com.apple.quarantine /Applications/Example.app
xattr -dr com.apple.quarantine /Applications/Example.app

-r 递归处理应用包内的文件，-d 只删除指定属性；不要用 xattr -cr 清空所有扩展属性，也不要对系统应用操作。删除隔离属性后，Gatekeeper 仍会在首次运行和签名变化时重新评估，所以它不能修复坏签名。

“已损坏”先按下载问题处理：重新下载，核对发布方提供的 SHA-256，确认文件完整；把应用拖到 /Applications 后再运行，不要从 DMG 或“下载”目录直接启动。用 file 和 lipo -archs 确认架构；Intel 专用应用在 Apple 芯片机器上需要安装 Rosetta：

softwareupdate --install-rosetta --agree-to-license

签名或公证失败时，用户侧能做的通常有限：重新下载官方版本、换用其他网络重试公证查询、校准系统时间。开发者应使用 Developer ID 签名、启用硬运行时、完成公证并附加票据：

codesign --verify --deep --strict --verbose=2 /Applications/Example.app
xcrun notarytool submit Example.zip --keychain-profile <配置名> --wait
xcrun stapler staple /Applications/Example.app
xcrun stapler validate /Applications/Example.app

企业或学校设备若由 MDM 管理，先查看配置描述文件，确认是否有应用限制或允许列表，再联系管理员，不要自行删除管理描述文件。若只是单个应用被安全软件拦截，检查其隔离区或策略日志，而不是关闭整个 Gatekeeper。

不建议用 spctl --global-disable 或修改 SIP 来“解决”问题：这会降低整台机器的安全性，也可能在系统更新后失效。修复后再次用 spctl --assess、codesign --verify 和实际启动验证，并保留应用的下载来源与校验和记录。

相关命令

• codesign — 检查签名链和嵌套代码
• xattr — 查看和删除隔离属性
• security — 证书与钥匙串检查
• xcrun — notarytool 和 stapler
• xcode-select — 确认命令行工具路径
• open — 从终端启动应用复现问题
• curl — 重新下载并核对响应
• softwareupdate — 安装 Rosetta
• macOS 心智模型 — Gatekeeper 与签名体系
• 证书不受信任 — 证书链问题
• 证书过期 — 证书有效期问题

参考链接

• Apple 支持：打开来自未识别开发者的 Mac 应用
• Apple Developer: Notarizing macOS software before distribution
• Apple Developer: macOS Code Signing In Depth

读完自测

合上页面，先回答，再展开对照。

1. 提示“已损坏”是否一定是文件损坏？还应该检查什么？
2. spctl --assess 显示 accepted，应用仍然打不开，下一步查什么？
3. 为什么不建议全局关闭 Gatekeeper 或递归清空所有扩展属性？