macOS Gatekeeper 主要拦截从互联网下载且未公证的图形界面应用双击运行，不阻止终端执行或Xcode调试；合法绕过方式包括清除隔离属性、临时启用“任何来源”或添加spctl自定义规则；推荐通过Developer ID签名+公证+加钉实现合规分发。
macOS 系统默认通过 Gatekeeper 和代码签名机制限制未签名或非 Mac App Store 应用的运行，但开发者在调试、内网分发或测试场景下，常需临时绕过签名验证。这并非推荐长期做法，而是为开发和测试提供必要灵活性。关键在于理解机制、使用合法手段、避免破坏系统安全基线。
理解 Gatekeeper 的实际作用范围
Gatekeeper 并不阻止所有未签名程序执行，它主要拦截以下三类行为：
- 从互联网下载（如 Safari、Chrome 下载）且未被公证（notarized）的 app 或安装包（.pkg/.dmg）
- 首次双击运行时未通过 Apple 公证或开发者 ID 签名的应用
- 用户未手动授权“任何来源”时，系统对未知开发者应用的弹窗拦截
注意：本地编译的命令行工具（如 ./mytool）、Xcode 调试构建、或已用开发者证书签名但未公证的 app，在终端中直接执行通常不受 Gatekeeper 拦截 —— Gatekeeper 主要作用于图形界面应用的双击启动路径。
合法绕过方式：按需启用“任何来源”并控制作用域
系统级设置“任何来源”（Allow apps downloaded from: Anywhere）已被 macOS 10.15+ 隐藏，但可通过终端安全策略命令临时启用，且建议仅在当前会话或指定目录生效：
- 临时允许单个 app 运行：xattr -d com.apple.quarantine /path/to/App.app（清除隔离属性，适用于已下载但被标记的 app）
- 允许某目录下所有内容免检：sudo spctl --master-disable（启用“任何来源”，需密码；完成后可在“系统设置 > 隐私与安全性”图形界面确认）
- 更精细控制：用 spctl --add --label "DevTest" /path/to/App.app 添加自定义规则，再用 spctl --enable --label "DevTest" 启用该标签策略
操作后无需重启，但“系统设置”界面可能延迟刷新。建议完成测试后运行 sudo spctl --master-enable 恢复默认防护。
签名与公证：替代绕过的标准开发实践
真正可持续的方案不是绕过验证，而是让应用合规通过 Gatekeeper：
- 使用 Apple Developer 账户申请“Developer ID Application”证书，在 Xcode 或 command line 中签名：codesign --sign "Developer ID Application: XXX" --deep --force MyApp.app
- 签名后提交公证（Notarization）：xcrun notarytool submit MyApp.app --keychain-profile "AC_PASSWORD" --wait（需提前配置 API 密钥）
- 公证成功后用 xcrun stapler staple MyApp.app 将票据嵌入，使离线环境也能通过 Gatekeeper 检查
经完整签名+公证+加钉的应用，用户双击即可运行，无任何警告 —— 这是面向外部分发的唯一推荐路径。
调试阶段的轻量替代方案
日常开发中，多数情况无需全局禁用 Gatekeeper：
- Xcode 运行调试：自动使用开发证书签名，且 IDE 启动不触发 Gatekeeper 检查
- 终端中执行：open -a MyApp.app 或直接运行可执行文件（./MyApp），绕过 Finder 双击路径，通常跳过 quarantine 检查
- 使用 chmod +x 并添加 shebang 的脚本，即使未签名也可在终端运行（Gatekeeper 不检查普通脚本）
这些方式既满足快速迭代需求，又不降低系统整体防护等级。
