原文: https://jacobpan3g.github.io/cn/2018/02/07/gain-root-permission-for-mac-app/，有問題歡迎在原文評論區一塊兒討論交流，我會及時回覆。git
在MacOS App開發中，有一些操做須要管理員權限，須要彈出認證對話框讓用戶輸入帳號和密碼，這個過程就是MacOS App提權的過程，主要有下面幾種方式：github
1. AuthorizationExecuteWithPrivileges()
使用這個接口最有表明的庫是STPrivilegedTask，這是一個封裝得很好得App提權庫，接口與NSTask十分像，使用起來十分方便。objective-c
惋惜得是AuthorizationExecuteWithPrivileges()接口在MacOS 10.7開始deprecated，聽說在10.12的版本該接口就關閉了。shell
所以，若要兼容10.12之後的MacOS版本，就不得不放棄使用STPrivilegedTask庫了。app
2. 使用ServiceManagement.framework註冊LaunchdDaemon
這是Apple官方目前推薦的提權方式，官方有一個SMJobBless的Demo，是用來有點複雜，具體請見另外一篇文檔"SMJobBless官方Demo筆記"less
該方法有一個幾個小缺點：spa
- 彈出認證對話框的提示內容是"須要Install Helper"，並且每次打開都是這樣的提示，對於小白用戶來講，會不會誤導用戶App總是在安裝什麼東西？
- LaunchdDaemon及其配置文件是須要安裝到
/Library下的，當用戶把App卸載後會不會存在"殘留問題"？
3. 使用AppleScript
do shell script "..." with administrator privileges
省略號部分填入shell腳本，任何可執行文件都須要寫全路徑，如/bin/ls。線程
以上是AppleScript腳本，經過這種方式提權有如下有點：code
- 比上述"註冊LaunchdDaemon"方法實現起來簡單不少
- 同時也不用擔憂卸載殘留的問題，由於所有東西都在.app裏
AppleScript腳本在objective-c中有兩種執行方式：接口
- 經過NSTask執行"/usr/bin/osascript -e "do shell ...""
- 經過NSAppleScript執行
方法1有兩個缺點：
do shell script會在全部shell執行完成後再把全部stdout返回，所以當啓動的是Daemon進程，就算使用NSTask的fileHandle Notification，也沒法把stdout分次讀取出來。- 這種方法的認證窗口提示信息是"osascript wants to make changes."，對於小白用戶來講會不會有一種這樣的感受"我明明安裝的是XXX.app，怎麼來了一個osascript讓我輸入帳號密碼？會不會是惡意程序？"
而使用NSAppleScript方法時，認證窗口的提示信息是"APP_NAME wants to make changes."，感受這樣的提示更加友好。但也有一些缺點:
- NSAppleScript執行Daemon進程的話會直到Daemon退出才退出，即會一直佔用線程。 解法：建議在子線程使用NSAppleScript，以避免UI沒法響應
- 也存在stdout只能等待Daemon退出才所有打印的問題
Jacob Pan ( jacobpan3g.github.io/cn )