用 pkgutil 校验 .pkg 安装包签名

在安装之前检查 macOS 安装包的证书链是否可信、是否被改动。

macOSpkgutil 安装包查询codesign 代码签名安装器pkg 包管理低风险

运行 `pkgutil --check-signature /path/to/file.pkg` 查看签名证书链及其可信状态。

01命令

命令

$ pkgutil --check-signature ~/Downloads/SomeInstaller.pkg

与完整的 Gatekeeper 评估不同，pkgutil --check-signature 直接作用于 .pkg 文件，能显示证书链上的每一级证书及各自的有效期。它能发现包被第三方重新签名或签名后被修改的情况。安装后可再对应用本体运行 `codesign -dv`，形成完整的信任链条。

风险低风险

✓无需撤销——该命令不会改变持久状态。

macOS pkgutil — query and manipulate packages
SS64 · technical · 2026-09-17
依据: Documents pkgutil --check-signature for verifying signed package archives.

最后验证: 2026-09-17 · 分类: 系统与设置

检查应用包的签名是否有效、是否在签名后被修改过。

安装程序窗口关闭很久之后，仍能查出它到底在系统里放了哪些文件。