验证iOS签名证书的合法性，本质是在检查一条完整的信任链（Trust Chain）：从开发者证书 → Apple根证书 → 系统信任库，同时还要验证该证书是否被吊销、是否与应用签名匹配，以及是否在允许的使用范围内。
这个过程可以从系统层验证、文件层验证、运行时验证三个维度展开。
一、理解“合法性”的定义
一个iOS签名证书被认为“合法”，必须同时满足：
- 证书由Apple签发或受Apple信任的CA签发
- 证书未过期
- 证书未被吊销（revoked）
- 签名链完整（Root → Intermediate → Developer）
- 证书用途匹配（Code Signing）
- 与应用签名一致
二、系统层验证（最权威）
1. 使用 macOS Keychain 查看证书状态
打开终端：
security find-identity -v -p codesigning
输出示例：
1) ABCD1234... "Apple Development: John Doe"
2) EFGH5678... "Apple Distribution: Company Ltd"
判断点：
- 是否显示 “valid identities”
- 是否包含
Apple Development或Apple Distribution - 是否报错 “no identities found”
2. 查看证书详细信息
security find-certificate -c "Apple Distribution" -p | openssl x509 -text -noout
重点检查：
- Issuer（签发者）
- Apple Worldwide Developer Relations Certification Authority
- Validity（有效期）
- Extended Key Usage
- Code Signing
3. 验证证书链完整性
codesign -dv --verbose=4 AppName.app
关注输出：
Authority=Apple Distribution: Company
Authority=Apple Worldwide Developer Relations Certification Authority
Authority=Apple Root CA
如果链不完整 → 证书不可信
三、应用签名级验证（关键步骤）
1. 验证IPA签名完整性
codesign -vvv AppName.app
或验证IPA：
codesign -vvv Payload/App.app
正常结果：
valid on disk
satisfies its Designated Requirement
异常情况：
code object is not signedinvalid signatureresource envelope is obsolete
2. 查看签名证书信息
codesign -d --verbose=4 AppName.app
输出示例：
Authority=Apple Distribution: Company Name
TeamIdentifier=ABCDE12345
关键检查项：
- Team ID 是否正确
- Certificate Subject 是否匹配开发者
- 是否为 Apple 签发
四、Provisioning Profile验证
证书合法 ≠ 应用合法，还必须匹配 Profile。
1. 解码Profile
security cms -D -i embedded.mobileprovision
检查字段：
TeamIdentifierAppIDNameExpirationDateProvisionedDevices（开发/Ad Hoc）
2. 核对关键一致性
必须一致：
| 项目 | 是否一致 |
|---|---|
| Bundle ID | 必须匹配 |
| Team ID | 必须匹配 |
| Certificate | 必须包含 |
| Device UDID | 若为开发/Ad Hoc必须存在 |
五、在线验证（Apple官方路径）
Apple没有公开API，但可以通过以下方式间接验证：
1. Xcode自动验证
- 打开项目 → Signing & Capabilities
- Xcode会自动校验证书状态
- 红色提示即表示无效或过期
2. Developer Portal检查
在 Apple Developer Center：
- Certificates
- Identifiers
- Profiles
状态包括：
- Valid
- Revoked
- Expired
六、运行时验证（高级手段）
用于安全检测或反篡改：
1. 获取签名信息
NSBundle.mainBundle.executablePath
结合 SecCodeCheckValidity
2. 检测是否被重签名
codesign -dvvv /path/to/app
如果出现：
- 非Apple签发
- Team ID异常
- Authority缺失
说明可能被重签名
七、常见异常与原因
1. “code object is not signed”
原因：
- IPA被修改过
- 重打包未重新签名
2. “resource envelope is obsolete”
原因：
- 旧签名格式（V1签名）
- 未使用最新Xcode重新构建
3. “no valid provisioning profile”
原因：
- Profile过期
- Bundle ID不匹配
- 证书未包含在Profile中
4. “signature invalid”
原因：
- 文件被篡改
- 二次打包错误
- hash校验失败
八、企业级验证策略（推荐）
在企业环境中，应建立自动化验证链：
CI/CD验证流程：
- codesign校验
- profile解析
- certificate chain验证
- Team ID匹配
- 输出审计日志
九、核心判断逻辑（简化模型）
可以用一个公式理解：
合法证书 = Apple信任 + 未过期 + 未吊销 + 签名匹配 + Profile一致
任何一项失败 → 即为不合法
十、关键结论
iOS签名证书的“合法性”不是单点属性，而是一个多层信任系统的结果：
- 系统层：是否被Apple信任
- 文件层：签名是否完整
- 配置层：Profile是否匹配
- 运行层：是否被篡改
如果你需要，我可以进一步帮你整理一套**“自动检测企业签名是否合法的脚本方案（CI可用）”，或者一套“排查iOS签名安装失败的标准流程图”**。
