macos - 协同设计和产品设计有什么区别？

Question

苹果codesign有什么区别和 productsign .我一直在和他们一起玩，虽然我不能用 productsign 签署代码看来我可以用 codesign 签包裹.

所以两个主要问题:

协同设计和产品设计有什么区别？

我可以使用 codesign 来签署包裹吗？

Answer 1

• codesign

— 用于对应用程序包、框架、验证和操作签名等进行代码签名。

• productsign

— 专门用于协同设计 .pkgs 和 .mpkgs(安装程序包/存档)。

But why can I sign a package using codesign?

协同设计工具用于验证您作为单个实体签名的内容——即同一个程序。安装程序包不是一个实体，它实际上是多个实体(内容、安装程序和安装程序脚本/插件)。由于 codesign 工具不会区分您的 .pkg 实际上与其中包含的内容完全不同，因此使用它对安装程序包进行签名可能会导致签名无效，或者您的安装程序崩溃。

Apple 的代码签名指南阅读

"In the case of installer packages (.pkg and .mpkg bundles), everything is implicitly signed: The CPIO archive containing the payload, the CPIO archive containing install scripts, and the bill of materials (BOM) each have a hash recorded in the XAR header, and that header in turn is signed. Therefore, if you modify an install script (for example) after the package has been signed, the signature will be invalid."