Briefcase项目在macOS上代码签名问题的分析与解决

问题背景

在使用Briefcase工具打包基于PySide6的macOS应用时，开发者遇到了代码签名失败的问题，特别是在处理QtWebEngineCore框架时。这个问题主要出现在M1芯片的MacBook Pro运行Sonoma系统的环境下。

问题现象

当开发者尝试使用Briefcase构建包含QtWebEngineCore的PySide6应用时，代码签名过程会失败，错误信息显示无法对QtWebEngineCore框架进行签名。开发者最初尝试通过手动修改Briefcase源代码，在签名命令中添加--deep参数来解决问题，这种方法虽然临时有效，但不是最佳解决方案。

技术分析

经过深入调查，发现问题根源在于签名顺序的不合理。QtWebEngineCore.framework包含多个需要签名的组件：

1. 主框架文件：Versions/A/QtWebEngineCore
2. 帮助进程相关文件：
   • Versions/A/Helpers/QtWebEngineProcess.app/Contents/MacOS/QtWebEngineProcess
   • Versions/A/Helpers/QtWebEngineProcess.app
   • Helpers/QtWebEngineProcess.app/Contents/MacOS/QtWebEngineProcess
   • Helpers/QtWebEngineProcess.app

Briefcase当前的签名实现是按照父目录分组后，按反向字母顺序并行签名。这导致主框架文件(QtWebEngineCore)在帮助进程文件之前被签名，从而引发签名错误。

解决方案

正确的签名顺序应该是：

1. 先签名所有子目录中的文件
2. 最后签名主框架文件

具体来说，应该按照以下顺序签名：

1. Versions/A/Helpers/QtWebEngineProcess.app/Contents/MacOS/QtWebEngineProcess
2. Versions/A/Helpers/QtWebEngineProcess.app
3. Helpers/QtWebEngineProcess.app/Contents/MacOS/QtWebEngineProcess
4. Helpers/QtWebEngineProcess.app
5. Versions/A/QtWebEngineCore

这种顺序确保了依赖关系的正确处理，使得签名过程能够顺利完成。

实施建议

对于Briefcase项目，建议修改签名逻辑，确保在签名任何目录中的文件之前，先签名该目录下的所有子目录内容。这可以通过调整文件排序算法实现，使得子目录总是排在父目录文件之前被处理。

临时解决方案

对于急需解决问题的开发者，可以采取以下临时措施：

1. 确保项目中正确包含了PySide6-Addons和PySide6-Essentials
2. 清理构建目录中的dist-info文件
3. 重新运行构建命令

总结

macOS应用的代码签名是一个复杂的过程，特别是当应用包含嵌套框架时。Briefcase项目在处理QtWebEngineCore框架时的签名顺序问题，揭示了框架签名顺序的重要性。通过调整签名顺序，可以避免使用已被弃用的--deep参数，同时确保签名过程顺利完成。这一发现不仅解决了当前问题，也为处理类似框架签名问题提供了参考方案。