使用产品符号签署 CAR 会损坏存档文件

Question

我正在尝试使用 productsign 签署一个 XAR 存档，其中包含 2 个 pkg 使用 productbuild 创建的文件。 xar 工具正在正确创建文件，但我认为签名会破坏内容，即使获得的文件已签名。下面是一些相关的命令输出（我用 INFO 替换了敏感信息）：

$ ls .
file1.pkg file2.pkg
$
$ xar -cf '../_file.xar' .
$
$ cd ..
$ /usr/bin/productsign --sign 'Developer ID Installer: INFO' '_file.xar' 'file.xar'
productsign: using timestamp authority for signature
productsign: signing product with identity "Developer ID Installer: INFO" from keychain /Users/INFO/Library/Keychains/login.keychain
productsign: adding certificate "Developer ID Certification Authority"
productsign: adding certificate "Apple Root CA"
productsign: Wrote signed product archive to file.xar
$
$ /usr/sbin/pkgutil --check-signature 'file.xar'
Package "file.xar":
Status: signed by a certificate trusted by Mac OS X
Certificate Chain:
1. Developer ID Installer: INFO
SHA1 fingerprint: INFO
-----------------------------------------------------------------------------
2. Developer ID Certification Authority
SHA1 fingerprint: INFO
-----------------------------------------------------------------------------
3. Apple Root CA
SHA1 fingerprint: INFO

$ file file.xar
file.xar: xar archive - version 1
$
$ xar -xf file.xar -D /tmp
Error while extracting archive:(file1.pkg): Error decompressing file
$

productsign 命令是否打算以其他方式工作？我不明白我的方法有什么问题。

Answer 1

经过一些测试，我发现 xar 在存档中使用了相对路径，所以在我的例子中出现了问题，因为我在路径名中使用了 "../"。

使用产品符号签署 CAR 会损坏存档文件

Sign a XAR with productsign is corrupting the archive file

macos

corruption

productbuild

productsign

xar