macos - 为什么 .pkg 文件有时会在分发前包装在 .dmg 文件中？

Question

许多软件在.dmg(磁盘镜像)内都有一个.pkg(安装包)，我想知道为什么采用这种做法。

1. 即使将所有内容都绑定(bind)到 .pkg 中，也需要拥有软件的可安装磁盘镜像(即 .dmg)。

2. .pkg 是否容易受到 zip slip 之类的攻击，它是否需要额外的安全性，如果软件以 .pkg 格式分发，可能会面临哪些问题。

3. .pkg 似乎已经被压缩，因为 dmg 之后并没有减少文件大小太多。看来压缩不是主要原因，如果我错了，请告诉我。

4. 有人提到“.pkg 不是文件，而是文件夹。因此也许将其收集到单个文件中对于下载至关重要。”但我无法右键单击并查看内容以及通过命令行显示它不是目录。那么为什么我们不能将软件作为 .pkg 分发，只是为什么需要安装。

Answer 1

只有当您的应用程序很复杂并且需要执行一些脚本或必须在文件系统中安装一些额外的资源时，才需要pkg(安装包)。对于大多数应用程序来说，这对用户来说更容易，建议提供 zip 文件供下载。下载后，Zip 存档将自动从 Safari 解压缩，并且应用程序可供使用。

有 pkg​​ 查看器和有关如何检查安装包内容的说明 ( https://www.macobserver.com/tmo/article/how-to-inspect-an-os-x-package-file-pkg-without-installing )。