Homebrew 6.0 起如何为第三方 tap 用 brew trust 精确授予信任？

从 Homebrew 6.0.0 开始，非官方 tap 默认不再被加载：brew 需要评估 tap 中的 Ruby 代码才能解析依赖、发现软件包或运行外部命令，因此必须显式授予信任后相关命令才能执行。本文的任务是：在 6.0 环境中为第三方 tap 授予刚好够用的信任——只信任你要用的 formula、cask 或命令，而不是整个 tap——并验证信任状态。适用于已经用 brew tap 添加了非官方 tap、之后 brew install <短名> 或其他命令开始报未信任错误的场景。官方 tap 与 Homebrew 内置命令始终受信任，不受影响（见 Tap Trust）。

为什么 tap 信任会阻断命令

tap 里的 formula、cask 和外部命令是可执行的包定义，不是纯元数据。授予信任意味着接受该 tap 的代码在 Homebrew 加载它时以你的用户权限运行，可能影响被篡改的 tap 仓库、仓库所有权变更、软件包重名冲突等场景造成的伤害范围。brew doctor 会对"tap 本身和其中任何条目都未受信任"的非官方 tap 发出警告；需要加载未受信任 tap 或条目的命令会直接失败，直到相应信任被授予。

未授权时加载被拒绝的典型报错（来自 trust.rb）：

Refusing to load formula <名称> from untrusted tap <tap>.
Run `brew trust --formula <名称>` or `brew trust <tap>` to trust it.

报错信息本身就给出了两条修复路径：授予该条目的信任，或授予整个 tap 的信任。

选择信任粒度：条目信任优先，整 tap 信任是兜底

docs/Tap-Trust.md 给出的判断标准：

• 优先信任具体的 formula、cask 或命令：一次性安装、自动化脚本、以及来自你不完全控制的供应商的软件，都适用条目级信任。
• 整 tap 信任允许 Homebrew 加载该 tap 当前以及未来新增的所有 formula、cask 和外部命令，只适合你自己维护或高频使用的 tap。

注意两点边界：

• brew tap user/repository 本身不授予整 tap 信任（见 Taps）。
• 用全限定名安装，例如 brew install user/repository/formula，只会信任那一个条目；cask 同理用 brew install --cask user/repository/cask。这是不需要手动执行 brew trust 的替代路径。

用 brew trust 授予精确信任

以下命令中 user/repository/formula 是文档使用的占位写法，执行时替换为实际的 <用户>/<仓库>/<条目名>。四个类型开关 --tap、--formula、--cask、--command 互斥（见 cmd/trust.rb）。

按短名安装前，先信任条目：

brew tap user/repository
brew trust --formula user/repository/formula
brew install formula

cask 与外部命令分别用 brew trust --cask user/repository/cask 和 brew trust --command user/repository/command。

信任整个 tap：

brew tap user/repository
brew trust user/repository
brew install formula

不带类型开关时，Homebrew 会根据名称推断目标：一段斜杠（user/repository）视为 tap；user/repository/item 会在该 tap 里查找同名 formula、cask 和命令，唯一命中才生效，命中多个会报 Ambiguous trust target <名称>. Use --formula, --caskor--command.（见 trust.rb）。因此条目名在同 tap 内可能歧义时，显式加类型开关是最稳妥的做法。

信任记录写入用户配置文件：设置了 $XDG_CONFIG_HOME 时位于 ${XDG_CONFIG_HOME}/homebrew/trust.json，否则位于 ~/.homebrew/trust.json（见 cmd/trust.rb）。

验证信任状态

授予后立即确认。不带参数运行 brew trust 会列出已信任条目，例如（文档示例输出）：

$ brew trust
All official taps and commands are trusted.
Trusted formulae:
  user/repository/formula

没有任何信任记录时会输出 No trusted taps, formulae, casks or commands.。反向检查未信任的对象：

brew untrust

它会列出未受信任的 tap、formula、cask 和命令；自动化脚本也可以用 brew trust --json=v1 以 JSON 形式导出全部已信任条目（<version> 只接受 v1）。

最终验证是命令本身：之前因未信任而失败的 brew install formula 在信任后应能正常加载并继续执行；对官方 tap 执行 brew trust 则会输出 Official tap <名称> is always trusted. 并跳过，可用于确认某个 tap 确实是官方 tap。

在 Brewfile 中声明信任（可选分支）

如果软件依赖通过 Brewfile 管理，信任可以声明式写入，brew bundle install 会在安装前自动信任相应条目（见 Brew-Bundle-and-Brewfile）：

# 信任整个 tap
tap "user/repository", trusted: true
# 只信任条目
brew "user/repository/formula", trusted: true
cask "user/repository/cask", trusted: true

tap 条目还支持只信任该 tap 内的指定条目而不信任整个 tap，键值是该 tap 内的条目名：

tap "user/repository", trusted: {
  formula:  "formula",
  formulae: ["another-formula"],
  cask:     "cask",
  casks:    ["another-cask"],
  command:  "command",
  commands: ["another-command"],
}

两个需要留意的行为：

• brew bundle dump 会为受信任的 brew、cask 和整 tap 条目写出 trusted: true；未出现在 dump 结果中的受信任 formula/cask/命令会写成 tap 级信任哈希。
• brew bundle cleanup 执行清理时会把全局信任存储重置为所选 Brewfile 声明的值——未在该 Brewfile 中声明的手动信任条目会被移除；若所选 Brewfile 没有任何信任声明，所有显式信任条目都会被清除。执行前请确认这是你想要的副作用。

收回信任与边界限制

收回信任与授予对称：

brew untrust user/repository
brew untrust --formula user/repository/formula

按 cmd/untrust.rb 的实现，取消整 tap 信任时，该 tap 名下已记录的 formula/cask/命令条目级信任会一并移除。

其他边界：

• 未受信任的 tap 在需要 tap 信任时不会加载，除非你显式按全限定名安装其中的 formula 或 cask；只信任了某个具体条目时，Homebrew 可以在不信任其余内容的情况下加载该条目。
• HOMEBREW_REQUIRE_TAP_TRUST=1 已弃用——它只是要求默认行为，应取消设置；HOMEBREW_NO_REQUIRE_TAP_TRUST=1 同样已弃用并将移除。文档明确建议：不要用环境变量关闭 tap 信任，而是用 brew trust 只信任需要的 tap、formula、cask 或命令。
• 当 GitHub 因 tap 的所有者或仓库重命名而重定向时，Homebrew 会跟随已验证的重定向、把本地 tap 指到新的规范 remote，并作废旧 tap 名下的信任条目，而不是静默沿用（见 安全与供应链）。遇到 tap 上游改名后命令重新报未信任错误，属于预期行为，重新对新的 tap 名授予信任即可。

完成上述步骤后，brew trust 的列表输出与之前失败的命令恢复执行，就是该场景的完成判定；不需要也不应该为了"省事"把信任范围扩大到整 tap。