用 security 命令导入 P12 证书到钥匙串

macOS 自带的 security 工具可以在终端把 .p12/.pfx 证书连同私钥导入钥匙串，并可用 -T 指定允许使用密钥的程序。

macOS钥匙串证书安全中风险

运行 `security import cert.p12 -k ~/Library/Keychains/login.keychain-db -P "密码" -T /usr/bin/codesign` 即可导入证书。

01命令

命令

$ security import client.p12 -k ~/Library/Keychains/login.keychain-db -P "p12password" -T /usr/bin/codesign

02作用说明

这是在 CI 机器或新 Mac 上非交互式安装签名/双向 TLS 客户端证书的标准方法。-P 提供导出时的 P12 密码，-T 列出可以使用该私钥而不弹窗的程序——签名用 codesign，mTLS 用 curl 或 ssh。用于签名场景时，通常还需要执行 `security set-key-partition-list -S apple-tool:,apple: -k <登录密码> <钥匙串>` 以允许无界面访问。

03风险

风险中风险

!注意: 在命令行传入 P12 密码会留在 shell 历史中，建议改用交互提示或事后清理历史。

04撤销

撤销

$ security delete-certificate -c "Common Name" ~/Library/Keychains/login.keychain-db

05来源

security — administer keychains and keys (macOS man page)
SS64 · technical · 2026-09-17
依据: Documents security import in_file -k keychain -P passphrase and the -T application allowlist for using the imported key.

最后验证: 2026-09-17 · 分类: 安全与隐私

06相关方案

用 hdiutil 创建加密磁盘映像

macOShdiutil 磁盘镜像安全磁盘镜像

在终端中直接生成 AES-256 加密的 .dmg 加密容器，无需打开磁盘工具。

低风险 ✓ 2026-09-17

用 codesign 校验应用的代码签名

macOS门禁签名codesign 代码签名

检查应用包的签名是否有效、是否在签名后被修改过。

低风险 ✓ 2026-09-17