问题描述
从网络下载的 .dmg 安装包双击打开后，无法正常将应用拖拽到"应用程序"文件夹，或者安装后无法启动。
环境信息
系统： macOS 23.6.0 (Darwin arm64/x64)
问题文件：
CC-Switch-v3.12.3-macOS+(1).dmg (20M)
Tunnelblick_8.0.1_build_6301.dmg (20M)
症状表现
.dmg 文件可以挂载，内容可见
应用（.app）复制到 Applications/ 文件夹成功
但启动时提示：
"无法打开，因为无法验证开发者"
或"已损坏"
或双击完全无反应
根本原因
macOS Gatekeeper 安全机制
从网络下载的文件会被 macOS 自动添加隔离属性 (com.apple.quarantine)，这属于 Gatekeeper 的一部分。
bash
复制代码
# 查看隔离属性
xattr -l /Applications/AppName.app
# 输出：com.apple.quarantine: 0081;...
隔离属性的作用
标记文件的来源（URL、下载时间）
提醒用户这是"不受信任"的网络下载
在启动时触发额外验证流程
解决方法
方法 1：右键强制打开（推荐，无需终端）
右键点击应用
选择"打开"
在弹出的安全警告中点击"打开"
此操作将临时绕过 Gatekeeper 限制
方法 2：移除隔离属性（永久解决，需 sudo 权限）
bash
复制代码
# 移除单个应用的隔离属性
sudo xattr -cr /Applications/AppName.app
# 或者移除所有扩展属性（更激进）
sudo xattr -dr com.apple.quarantine /Applications/AppName.app
参数说明：
-c 清除所有扩展属性
-r 递归处理（包括应用内部文件）
-d 删除指定属性
方法 3：命令行强制安装（绕过 Finder 限制）
如果 Finder 拖拽受限，可以用命令行直接复制：
bash
复制代码
# 挂载 DMG
hdiutil attach /path/to/file.dmg -nobrowse -readonly
# 复制应用
cp -R /Volumes/VolumeName/AppName.app /Applications/
# 卸载 DMG
hdiutil detach /Volumes/VolumeName
预防措施
临时降低 Gatekeeper 严格度（不推荐）
bash
复制代码
# 允许任何来源的应用（系统设置 → 安全性与隐私）
sudo spctl --master-disable
# 恢复默认行为
sudo spctl --master-enable
正确的开发者签名
开发者应确保应用正确签名：
bash
复制代码
# 签名应用
codesign -s "Developer ID Application: Your Name" /path/to/app.app
技术分析
文件完整性验证
问题文件的校验和通过：
复制代码
✓ Protective Master Boot Record: CRC32 验证通过
✓ GPT Header: CRC32 验证通过
✓ disk image (Apple_HFS): CRC32 验证通过
结论： 文件本身无损，问题不在下载过程。
隔离属性的生命周期
添加： 浏览器/下载工具自动添加
保留： 复制、移动时属性会跟随
移除： 必须显式清除或通过系统认可
适用场景
此问题常见于：
从非 App Store 下载的第三方应用
GitHub Releases、开发者官网下载
通过命令行工具（curl/wget）下载的文件
安全建议
只信任可信来源： 移除隔离属性前确认来源可信
检查签名： 用 codesign -dv AppName.app 验证开发者签名
杀毒扫描： 下载后先用安全软件扫描
定期更新系统： macOS 会更新 Gatekeeper 规则库
专门用于清除下载文件夹新下载文件的隔离属性，一劳永逸。
复制代码
#!/bin/bash
# 清除下载文件夹中所有新下载文件的隔离属性
DOWNLOADS_DIR="$HOME/Downloads"
echo "正在清除 $DOWNLOADS_DIR 中文件的隔离属性..."
find "$DOWNLOADS_DIR" -type f \( -name "*.dmg" -o -name "*.pkg" -o -name "*.app" \) -exec xattr -d com.apple.quarantine {} \; 2>/dev/null
echo "✓ 完成"