Nix Installer 项目在 macOS 15 上的用户组 ID 冲突问题解析

在 macOS 15 系统中，Nix Installer 项目遇到了一个关键的系统兼容性问题。这个问题源于操作系统更新带来的用户组 ID 分配冲突，影响了 Nix 包管理系统的正常安装和运行。

问题背景

macOS 15 引入了一个名为 _modelmanagerd 的新系统守护进程，该进程占用了 PrimaryGroupID 301。这个 ID 恰好是 Nix 安装程序默认使用的构建用户组 ID 范围起始值。系统更新后，/etc/passwd 文件中新增了多个系统用户：

_aonsensed:*:300:300:Always On Sense Daemon:/var/db/aonsensed:/usr/bin/false
_modelmanagerd:*:301:301:Model Manager:/var/db/modelmanagerd:/usr/bin/false
_reportsystemmemory:*:302:302:ReportSystemMemory:/var/empty:/usr/bin/false
_swtransparencyd:*:303:303:Software Transparency Services:/var/db/swtransparencyd:/usr/bin/false

这种 ID 分配冲突会导致 Nix 安装程序在执行时出现错误，特别是当尝试创建 _nixbld1 用户时，系统会返回 eDSRecordAlreadyExists 错误。

影响范围

这个问题主要影响以下几类用户：

1. 在全新安装的 macOS 15 系统上首次安装 Nix 的用户
2. 从 macOS 14 升级到 15 后尝试使用 Nix 构建软件包的用户
3. 在某些 macOS 14 系统上也可能遇到类似问题（如存在 _defendpoint 用户占用 301 ID 的情况）

对于升级用户，问题表现为构建失败并显示错误信息："error: the user '_nixbld1' in the group 'nixbld' does not exist"。

解决方案

目前 Nix Installer 项目团队已经提供了多种解决方案：

临时解决方案

对于需要立即安装的用户，可以通过指定不同的用户 ID 基址来绕过冲突：

curl --proto '=https' --tlsv1.2 -sSf -L https://install.determinate.systems/nix | sh -s -- install --nix-build-user-id-base 450 --nix-build-group-id 450

长期解决方案

Nix Installer 从 v0.20.1 版本开始，会自动检测 macOS 15 系统并将默认的用户 ID 范围调整为 450-499。这个范围是经过社区讨论后确定的，既避免了与系统用户冲突，又保持在合理的 ID 范围内。

技术细节

macOS 系统用户管理采用独特的 ID 分配机制，系统保留了一定范围的 ID 供内置服务使用。Nix 安装程序需要创建一组专用用户（_nixbld*）来安全地执行构建任务。传统上使用 300 作为起始 ID，但随着系统更新，这个范围逐渐被苹果的系统服务占用。

Nix Installer 通过检查 /System/Library/CoreServices/SystemVersion.plist 文件来识别系统版本，并据此调整 ID 分配策略。对于 macOS 15，安装程序会自动使用更高的 ID 范围以避免冲突。

最佳实践建议

1. 对于新安装用户，建议直接使用最新版 Nix Installer（v0.20.1 或更高）
2. 对于从旧系统升级的用户，可考虑以下方案：
   • 先卸载旧版 Nix（使用官方卸载方法）
   • 然后使用新参数重新安装
3. 开发者应注意检查自己的构建脚本是否硬编码了用户 ID 假设
4. 在多用户系统中，管理员应确保所有节点使用一致的 ID 分配方案

未来展望

这个问题促使 Nix 社区重新评估 macOS 上的用户管理策略。未来可能会看到：

1. 更动态的用户 ID 分配机制
2. 改进的冲突检测和自动解决功能
3. 更好的升级路径支持
4. 与 macOS 系统管理更深入的集成

这个案例也展示了开源社区如何快速响应系统环境变化，通过协作找到既解决当前问题又不影响长期稳定性的方案。