给 macOS 安装包做签名核验：一次严格检查的完整记录

最近在给教学产品 Lazy 的 macOS 桌面端做发布前的准备，其中一步是给独立安装包做签名核验。这一步做完之后，我把过程记下来，因为它和平时“能打开就行”的直觉不太一样。

这次核验的对象是一个 macOS 独立安装包。检查的内容有三项：安装包的签名是否完整、应用的标识是不是预期的 com.lizi.ai、以及它能不能通过系统的一次严格签名检查。三项都通过，才算核验通过。

核验通过之后，安装包进入首次使用测试：实际安装、启动，走一遍用户第一次拿到包时会遇到的流程，确认没有系统拦截、没有缺失的资源。签名核验通过只是放行条件，不是交付结论；首次使用测试跑通了，包才算真正可交付。

这次让我确认了一个做法：发布前的检查要分两层。第一层是静态的核验——签名、标识、完整性，缺一项都不能放行；第二层是动态的实测——在干净环境里实际装一次、用一次，只看静态结果不算数。两层都过，才往发布清单上记一笔。

另一个体会是顺序。签名与标识这类材料问题要在封版前清掉，不能留到发布当天再发现。安装包本身的功能已经跑通，剩下的就是这类材料类待办：签名核验、首次使用测试，逐项清掉再发。

下一步是等首次使用测试跑完，把核验结果与测试结论一起记进发布清单；材料类待办清完之后，再推进下一端的打包。