MacOS App代碼申請管理員權限

原文: https://jacobpan3g.github.io/cn/2018/02/07/gain-root-permission-for-mac-app/，有問題歡迎在原文評論區一塊兒討論交流，我會及時回覆。

在MacOS App開發中，有一些操做須要管理員權限，須要彈出認證對話框讓用戶輸入帳號和密碼，這個過程就是MacOS App提權的過程，主要有下面幾種方式：

1. AuthorizationExecuteWithPrivileges()

使用這個接口最有表明的庫是STPrivilegedTask，這是一個封裝得很好得App提權庫，接口與NSTask十分像，使用起來十分方便。

惋惜得是AuthorizationExecuteWithPrivileges()接口在MacOS 10.7開始deprecated，聽說在10.12的版本該接口就關閉了。

所以，若要兼容10.12之後的MacOS版本，就不得不放棄使用STPrivilegedTask庫了。

2. 使用ServiceManagement.framework註冊LaunchdDaemon

這是Apple官方目前推薦的提權方式，官方有一個SMJobBless的Demo，是用來有點複雜，具體請見另外一篇文檔"SMJobBless官方Demo筆記"

該方法有一個幾個小缺點：

• 彈出認證對話框的提示內容是"須要Install Helper"，並且每次打開都是這樣的提示，對於小白用戶來講，會不會誤導用戶App總是在安裝什麼東西？
• LaunchdDaemon及其配置文件是須要安裝到/Library下的，當用戶把App卸載後會不會存在"殘留問題"？

3. 使用AppleScript

do shell script "..." with administrator privileges

省略號部分填入shell腳本，任何可執行文件都須要寫全路徑，如/bin/ls。

以上是AppleScript腳本，經過這種方式提權有如下有點：

• 比上述"註冊LaunchdDaemon"方法實現起來簡單不少
• 同時也不用擔憂卸載殘留的問題，由於所有東西都在.app裏

AppleScript腳本在objective-c中有兩種執行方式：

• 經過NSTask執行"/usr/bin/osascript -e "do shell ...""
• 經過NSAppleScript執行

方法1有兩個缺點：

• do shell script會在全部shell執行完成後再把全部stdout返回，所以當啓動的是Daemon進程，就算使用NSTask的fileHandle Notification，也沒法把stdout分次讀取出來。
• 這種方法的認證窗口提示信息是"osascript wants to make changes."，對於小白用戶來講會不會有一種這樣的感受"我明明安裝的是XXX.app，怎麼來了一個osascript讓我輸入帳號密碼？會不會是惡意程序？"

而使用NSAppleScript方法時，認證窗口的提示信息是"APP_NAME wants to make changes."，感受這樣的提示更加友好。但也有一些缺點:

• NSAppleScript執行Daemon進程的話會直到Daemon退出才退出，即會一直佔用線程。
  解法：建議在子線程使用NSAppleScript，以避免UI沒法響應
• 也存在stdout只能等待Daemon退出才所有打印的問題

Jacob Pan ( jacobpan3g.github.io/cn )