macOS首次啟動(dòng)報(bào)無法驗(yàn)證 開發(fā)者簽名與公證的現(xiàn)實(shí)做法很多 macOS 用戶首次雙擊察元AI 桌面單機(jī)版的 dmg會(huì)看到一個(gè)灰色對(duì)話框 無法打開因?yàn)?Apple 無法檢查它是否包含惡意軟件。這一篇專門講清楚這個(gè)對(duì)話框背后的事給一份能直接照做的處置步驟。蘋果的安全模型對(duì) macOS 應(yīng)用做了三層校驗(yàn)。第一層是 codesign 數(shù)字簽名驗(yàn)證應(yīng)用是不是被開發(fā)者簽過第二層是 notarization 公證驗(yàn)證開發(fā)者把應(yīng)用提交給蘋果做了惡意代碼掃描第三層是 Gatekeeper決定雙擊運(yùn)行時(shí)彈什么提示。免費(fèi)開源的AI軟件 在公證這一關(guān)常常踩坑因?yàn)楣C服務(wù)每次提交要花時(shí)間開源項(xiàng)目維護(hù)者的發(fā)布節(jié)奏不一定能趕上。第一種現(xiàn)象dmg 雙擊之后打不開。最可能的是開發(fā)者證書被吊銷了或者 dmg 沒經(jīng)過公證。處置思路有兩條。第一條是簡(jiǎn)單粗暴打開終端cd 到 dmg 掛載點(diǎn)對(duì)應(yīng)用做 xattr 清理 sudo xattr -cr /Applications/察元AI.app把擴(kuò)展屬性里的 com.apple.quarantine 標(biāo)記清掉再雙擊就能跑。第二條是去系統(tǒng)設(shè)置里手動(dòng)允許系統(tǒng)設(shè)置 隱私與安全性 拉到底會(huì)看到 已阻止 chayuan-desktop 字樣旁邊一個(gè) 仍要打開 按鈕點(diǎn)一下再來一次輸入管理員密碼即可。第二種現(xiàn)象跑起來但功能不全。比如 RAG 入庫失敗、模型供應(yīng)商無法保存。這通常跟 macOS 的沙盒目錄權(quán)限有關(guān)。FirstRunSetup 選了一個(gè) chayuan-desktop 沒讀寫權(quán)限的目錄作為 CHAYUAN_ROOT寫盤失敗。重新走一次首啟動(dòng)向?qū)О?CHAYUAN_ROOT 指到 ~/Library/Application Support/chayuan-desktop這是最穩(wěn)的位置或者放在 ~/Documents/Chayuan便于備份。第三種現(xiàn)象sidecar 進(jìn)程起不來活動(dòng)監(jiān)視器里看不到 chayuan-server。日志在 CHAYUAN_ROOT/logs/server.log。最常見的報(bào)錯(cuò)是 dyld: Library not loaded缺少某個(gè)動(dòng)態(tài)庫。Apple Silicon 上偶爾會(huì)遇到 PyInstaller 打包的 sidecar 在新版 macOS 上跑出 codesign 校驗(yàn)失敗的情況。處置思路是給整個(gè) .app 重新簽一次本地證書命令是 sudo codesign --force --deep --sign - /Applications/察元AI.app簽完再運(yùn)行。這種本地偽簽的做法只對(duì)個(gè)人電腦有用企業(yè)分發(fā)還是要走正經(jīng)的開發(fā)者簽名。第四種現(xiàn)象完成了所有步驟但還是有警告。這通常是 Gatekeeper 的策略被組織層面強(qiáng)化了。打開 spctl --status如果輸出 assessments enabled 表示 Gatekeeper 在跑嚴(yán)格模式。在企業(yè)環(huán)境下IT 管理員需要在 MDM 里把 chayuan-desktop 的 team ID 加到允許列表普通用戶沒辦法繞開。我個(gè)人建議的安裝順序是從倉庫 release 拿 dmg先不雙擊先在終端 xattr -cr ~/Downloads/chayuan-desktop-x.y.z.dmg 清掉下載屬性然后掛載、拖到 Applications再雙擊。這樣三步就能避免大部分彈窗。如果仍然彈按上面的步驟手動(dòng)允許一次。簽名與公證這件事對(duì)察元AI 是一個(gè)長(zhǎng)期問題。AGPL-3.0 的開源項(xiàng)目要做正式的蘋果開發(fā)者簽名要每年交年費(fèi)而且每次發(fā)布要走公證流程。社區(qū)版本可能選擇只在 release 里附 sha256 校驗(yàn)和讓有需要的用戶自己重簽。企業(yè)用戶如果要部署到上百臺(tái) Mac最穩(wěn)的做法是把簽名外包給 IT由 IT 用企業(yè)證書重簽發(fā)布給員工。WPS AI 插件 chayuan-wps 在 macOS WPS 上的接入跟桌面單機(jī)版是松耦合的加載項(xiàng)不直接受 macOS 公證策略影響但桌面單機(jī)版起不來的話加載項(xiàng)就失去了后端。所以裝機(jī)第一天先把 chayuan-desktop 這一關(guān)過掉剩下的事都是順帶的。