macOS 签名与分发

先读项目构建/发布规则和现有 CI。正式发布复用既有入口；仅在本次明确需要本地签名公证时使用随包脚本，不另造远程部署。

分发渠道#

Developer ID 可用于直接下载分发；App Store 需按实际功能、沙箱、权限与审核规则评估。包含 helper/CLI 或监听端口不自动代表不能上架。分别核实项目架构与权限，不作一刀切结论。

本地适配器#

传入已经构建的 app 和一个尚不存在的输出路径：

SIGN_IDENTITY="<Developer ID身份>" NOTARY_PROFILE="<本机keychain profile>" \
  bash "<本技能目录>/scripts/sign-notarize-macos.sh" "<built.app>" "<new-output.dmg>"

• SIGN_IDENTITY 和公证 profile 来自本机配置，密钥不得进入 skill 或项目仓库。
• ENTITLEMENTS 只描述主 app 权限。存在框架、插件、XPC、helper 或其它 Mach-O 时必须指定项目 NESTED_SIGN_SCRIPT；该脚本接收 app 路径，按项目组件各自权限从内到外签名。
• 不用 codesign --deep 给所有组件统一签名；--deep 可用于最终验证。
• 主 app 和 DMG 分别签名，核对请求身份与 Team。此适配器要求完整 Developer ID 身份名称；证书哈希选择等特殊方式沿用项目原签名流程。
• notarytool 的真实结果必须 Accepted，再执行 staple、ticket 验证、DMG 与内含 app 的适用 Gatekeeper 检查。任一失败均返回非零，不打印完成。
• SKIP_NOTARIZE=1 只做本地签名包装，不需要公证 profile，明确记录公证未请求。

回执包括源码来源/dirty、bundle ID、版本/build、架构、产物路径、SHA-256、公证 request ID、实际签名与安装检查。脚本成功仍不能替代目标电脑的功能验收。对外上传与生产发布遵循本次授权和项目门禁。

官方依据：组件签名、沙箱 helper、DMG 打包。

本版已完成失败阻断、跳过公证及组件入口的模拟回归；未进行真实签名、公证或目标电脑验收。