objective-c - 使用 SMJobBless 时防止授权弹出窗口

Question

我们正在开发一个带有辅助工具的应用程序 - 该工具使用 SMJobBless 安装到系统中。这按预期工作；但有一个警告。

我们经常进行自动部署 - 有时每周一次以上。每次帮助工具版本发生变化时，我们都会重新注册它 - 导致出现密码提示。这两个因素很快就会让我们的用户感到恼火。

有没有办法让密码提示在初始帮助工具安装过程中仅出现一次？后续更新是否可以在没有提示的情况下进行？也许有一种方法可以利用现有的帮助工具来安装其自身的更新版本？

Answer 1

简短回答:否。SMJobBless() 始终提示输入管理员凭据。没有办法阻止它提示。如果调用此API，将会提示(或失败)。

<小时/>

有关解决方法的较长答案:

如果您的帮助工具以管理员/根权限运行，理论上它可以用新版本替换自身。 在执行此操作之前请仔细考虑。正确执行此操作并维护安全性非常困难，事实上，即使是主要操作系统也有 vulnerabilities在 installer functionality是一个强有力的指标，表明走这条路的风险可能超过 yield 。

如果您必须继续，请阅读:

• Race Conditions, Secure File Operations, and Time of Check vs Time of Use

• 苹果的Security APIs ，特别是SecRequirementCreateWithString和SecCodeCheckValidity 。

• macOS Code Signing In Depth和 Code Signing Requirement Language

您必须确保您的帮助工具不会被欺骗而用(或执行)恶意代码替换自身，否则您的软件将成为一个简单的根漏洞利用向量。

另请注意:无论 Apple 目前如何验证 SMJobBless 安装的辅助工具，可以想象，他们将来可能会收紧要求，并拒绝运行此后修改过的辅助工具。它们是通过 SMJobBless 安装的。最安全的方法(在多个方面)是每当您需要安装/更新帮助程序时调用 SMJobBless。