如何判断 Mac 应用是否安全
检查于 2026年10月30日
没有任何单一检查能证明一个 Mac 应用是安全的。请从 Mac App Store 或开发者的真实网站获取，确认它已签名并经过公证，并留意它请求了哪些权限。公证意味着 Apple 的自动扫描没有发现已知恶意软件，而不意味着有人审核过该应用。另外，切勿从网页粘贴终端命令来安装任何东西。
1. 检查来源
Apple 称App Store 是最安全的来源，因为 Apple 会审核并签名其中的每个应用，并能迅速下架有问题的应用。在商店之外，请前往开发者自己的网站。手动输入地址，或点击你信任的来源中的链接。攻击者确实会仿造真实网站。曾有一次 2020 活动使用了一个与 Homebrew 网站极其相似的假冒网站。
2. 检查签名和公证
将应用拖到“应用程序”文件夹，但先不要打开。然后在终端中运行以下命令，并替换为你应用的名称：
spctl -a -vv /Applications/YourApp.app
| 结果 | 含义 |
|---|---|
accepted 与 source=Notarized Developer ID | 由注册开发者签名并经 Apple 公证 |
accepted 与 source=Developer ID | 已签名但未公证，依据Apple 的 Xcode 帮助 |
accepted 与 source=Apple System | macOS 的一部分 |
rejected | 按照 Gatekeeper 的常规规则，它不被允许运行 |
origin= 这一行会标明签名者。请检查它是否与你预期的公司或个人一致。我们在 macOS 26.7.1、2026年10月30日 上运行了此命令，Google Chrome 显示的是 origin=Developer ID Application: Google LLC。
要查看完整的签名链，或只测试公证：
codesign -dv --verbose=2 /Applications/YourApp.app codesign --test-requirement="=notarized" --verify /Applications/YourApp.app
当应用通过检查时，第二条命令不输出任何内容。Apple 自带的应用因签名方式不同而无法通过该测试，所以它只对第三方应用有用。
3. 了解公证无法证明什么
Apple 明确表示，公证不等于 App 审核。它是对恶意内容和代码签名问题的自动扫描。它不涉及质量、隐私，也不涉及应用是否做到了它所承诺的功能。恶意软件也曾通过公证：在 2020，研究人员 Patrick Wardle 报告了经过公证的 Shlayer 恶意软件，Apple 随后撤销了他所报告的证书。
4. 留意应用请求的权限
沙盒在 Mac App Store 中是必需的，但许多很好的直接下载版本并不使用沙盒，因为它们需要更多权限才能完成工作。所以要判断每项权限请求是否合理。窗口管理器需要“辅助功能”权限是合理的，计算器想要读取你的通讯录则不合理。你可以在“系统设置”的“隐私与安全性”下查看并移除权限。
5. 切勿从网页粘贴安装命令
在 2026 中，一种常见的攻击完全绕过了应用本身。网页会告诉你在终端里粘贴一条命令，或者运行它为你打开的脚本，作为“修复”或“验证”。这种途径会绕过上述检查。一些真正的开发者工具确实通过终端安装，所以只使用官方网站上的命令，而且只在你确实想安装该工具时使用。如果你已经运行过来历不明的命令，请把这台 Mac 视为可能已被入侵，并用另一台设备修改你的密码。
MacPip 蓝色勾的含义
这表示有人在所示日期检查过该应用。每个带蓝色勾的应用都会显示一份带日期的报告，列出为该应用确认过的内容。只有当我们在下载的副本上确认过时，才会显示签名和公证。标注为待检查的应用还没有经过这一步。正如我们的条款所述，蓝色勾并不保证应用是安全的。它只是另一份带日期的证据。
如果 macOS 已经显示过提示，请阅读“Apple 无法验证”是什么意思。
MacPip 上的 Mac 应用
最近发布： Seedlore, Phosphor, Vexilo Code, MightyBench, Pixtamer。收录并不代表推荐，请自行检查每一个应用。
By category: 效率工具.