Electron Forge 中 macOS 应用签名与权限配置指南

问题背景

在使用 Electron Forge 构建 macOS 应用时，开发者经常遇到应用签名和权限配置的问题。特别是在需要访问系统资源（如麦克风、摄像头）时，正确的权限配置至关重要。本文将深入解析如何正确配置 macOS 应用的签名和权限设置。

核心问题分析

许多开发者在配置 entitlements.plist 文件时遇到的主要问题是：

1. 签名失败，错误提示"code has no resources but signature indicates they must be present"
2. 应用打包后无法正确请求系统权限（如麦克风访问）
3. 不同进程类型（主进程、渲染进程、GPU进程等）需要不同的权限配置

解决方案详解

正确的权限文件配置

Electron 应用由多个进程组成，每个进程需要不同的权限配置。以下是推荐的配置方案：

主配置文件 (forge.config.ts)

osxSign: {
  optionsForFile: (filePath) => {
    if (filePath.endsWith('MyApp.app')) {
      return {
        entitlements: path.resolve(__dirname, './entitlements.plist'),
        hardenedRuntime: true,
      }
    }
    if (filePath.endsWith('MyApp Helper (GPU).app')) {
      return {
        entitlements: path.resolve(__dirname, './entitlements.gpu.plist'),
        hardenedRuntime: true,
      }
    }
    // 其他进程类型配置...
  }
}

各进程权限文件配置

1. 主进程权限文件 (entitlements.plist)

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>com.apple.security.cs.allow-jit</key>
    <true/>
    <key>com.apple.security.automation.apple-events</key>
    <true/>
    <key>com.apple.security.cs.allow-unsigned-executable-memory</key>
    <true/>
    <key>com.apple.security.cs.disable-library-validation</key>
    <true/>
    <key>com.apple.security.device.screen-capture</key>
    <true/>
  </dict>
</plist>

2. GPU进程权限文件 (entitlements.gpu.plist)

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>com.apple.security.cs.allow-jit</key>
    <true/>
  </dict>
</plist>

3. 插件进程权限文件 (entitlements.plugin.plist)

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>com.apple.security.cs.allow-unsigned-executable-memory</key>
    <true/>
    <key>com.apple.security.cs.disable-library-validation</key>
    <true/>
  </dict>
</plist>

关键配置说明

1. hardenedRuntime: 启用强化运行时保护，这是现代macOS应用的安全要求

2. 进程特定配置: 不同进程类型需要不同的权限集：

   • 主进程通常需要最全面的权限
   • GPU进程主要需要JIT编译权限
   • 插件进程需要禁用库验证以加载第三方库

3. 常见权限项:

   • com.apple.security.cs.allow-jit: 允许JIT编译
   • com.apple.security.cs.disable-library-validation: 禁用库验证
   • com.apple.security.device.screen-capture: 允许屏幕录制
   • com.apple.security.device.audio-input: 允许麦克风访问

最佳实践建议

1. 最小权限原则: 只为每个进程授予它实际需要的权限

2. 测试验证: 打包后验证各功能是否正常工作，特别是需要特殊权限的功能

3. 开发与生产配置: 开发阶段可以使用更宽松的权限配置，但发布版本应严格限制

4. 证书管理: 确保使用正确的开发者证书进行签名

总结

正确配置Electron Forge的macOS应用签名和权限是确保应用功能正常和安全运行的关键。通过为不同进程类型配置特定的权限文件，并遵循最小权限原则，开发者可以构建出既功能完善又安全可靠的macOS应用。