适用于OS X Gatekeeper的代码签名Java应用

Question

我正在尝试将Java应用程序分发给OS X用户。我不使用Mac商店-可以通过我自己的网站进行分发。无论我如何尝试，OS
X的Gatekeeper都会拒绝该应用程序。

这是我的方法：

（1）像往常一样构建应用程序，获取一个JAR文件

（2）appbundler按此处所述使用：https
:
//docs.oracle.com/javase/7/docs/technotes/guides/jweb/packagingAppsForMac.html。这会在我的JAR周围创建一个.app，它运行良好，并且在MyApp.app/Contents/PlugIns目录中包含JVM
。

（3）使用我的开发者证书对应用进行签名：

codesign -s 'Developer ID Application: MyCompany Ltd' --deep MyApp.app

…过程成功完成

（4）确认.app将遵守Gatekeeper的第一拳法：

spctl --assess --verbose=4 --type execute MyApp.app

…而我得到的结果是：

MyApp.app: a sealed resource is missing or invalid

对我来说似乎不是很冗长！我可能做错了什么？或者我如何获得更多信息？

SO / Google围绕“密封资源…”搜索是指签名框架（我没有）或建议使用--force选项签名（我尝试过但无法使用）。

Answer 1

您不能使用--deep。这听起来像是正确使用的选项，因为您还需要对嵌入式JRE进行签名，但是它将无法正常工作。从苹果的文档：

重要提示：虽然–deep选项可以应用于签名操作，但不建议这样做。我们建议您在各个阶段内外对代码进行签名（就像Xcode会自动进行签名一样）。使用–
deep签名仅用于紧急维修和临时调整。

经过大量的梳理后，我从各种教程中将它们拼凑在一起。
这是最有帮助的。这是我作为Ant脚本的最终解决方案：

<!-- code sign -->
<exec executable="chmod">
    <arg line="a+w ${build.dir}/Mac/MyApp.app/Contents/PlugIns/jre"/>
</exec>

<apply executable="codesign"> <!-- note: this loops through the contents of dir -->
    <arg line="-f -s 'Developer ID Application: My Organization'"/>
    <fileset dir="${build.dir}/Mac/MyApp.app/Contents/PlugIns/jre" />
</apply>

<exec executable="codesign" dir="${build.dir}/Mac"> 
    <arg line="-f -s 'Developer ID Application: My Organization' MyApp.app/Contents/PlugIns/jre"/>
</exec>

<exec executable="codesign" dir="${build.dir}/Mac"> 
    <arg line="-f -s 'Developer ID Application: My Organization' MyApp.app/Contents/PlugIns/jre/Contents/_CodeSignature/CodeResources"/>
</exec>

<!-- also codesign anything else in _CodeSignature (see comments) -->

<exec executable="codesign" dir="${build.dir}/Mac">
    <arg line="-f -s 'Developer ID Application: My Organization' MyApp.app"/>
</exec>


<!-- verify codesign -->
<exec executable="codesign" dir="${build.dir}/Mac" failonerror="true">
    <arg line="-vv MyApp.app"/>
</exec>


<!-- verify gatekeeper -->
<exec executable="spctl" dir="${build.dir}/Mac" failonerror="true">
    <arg line="-vv --assess --type execute MyApp.app"/>
</exec>

需要注意的另一件事是zip在签名后不要使用命令行来打包应用程序，因为这会破坏应用程序的代码签名。您应该使用productbuild，PackageMaker
xip或dmg 将其打包。