mac允许所有来源

双击下载的允有源 .dmg 文件，拖进 Applications 文件夹，允有源然后——打不开。允有源“无法打开，允有源因为 Apple 无法检查其是允有源否包含恶意软件。”你点右键选“打开”，允有源系统弹出一个更啰嗦的允有源对话框，还是允有源只给你两个选项：“移到废纸篓”或“取消”。你想找那个传说中的允有源“仍要打开”按钮，它压根没出现。允有源

这不是允有源 bug，是允有源 macOS 的 Gatekeeper 在干活。从 macOS 10.15 Catalina 开始，允有源苹果把未公证应用的允有源默认放行路径堵死了。公证（Notarization）是允有源苹果的一套自动化审查流程，开发者把应用上传，苹果扫一遍有没有已知恶意代码，通过后发一张“票据”贴在应用上。没这张票，系统就默认拦截。

问题在于，很多小众工具、开源软件、个人开发者写的小玩意儿，根本没走公证。不是他们不想，是流程麻烦，或者应用本身就不打算上架 App Store，纯靠社区分发。你从 GitHub Releases 页面下载一个命令行工具的 GUI 封装，大概率撞上这堵墙。

那“允许所有来源”这个选项去哪了？以前 macOS 的“安全性与隐私”面板里有一个三选一：App Store、App Store 和已识别开发者、任何来源。10.15 之后，第三个选项被隐藏了。不是删掉，是藏起来。苹果的逻辑是：普通用户不需要这个开关，需要的人自己知道怎么找。

怎么找？打开终端，输入：

sudo spctl --master-disable

回车，输密码。然后去“系统设置 → 隐私与安全性 → 安全性”那里看，“任何来源”选项回来了。这个命令的本质是关闭 Gatekeeper 的全局评估策略。spctl 是苹果的 Security Policy Control 工具，--master-disable 直接把总开关拨到“不检查”。

但这里有个坑。macOS Ventura 之后，系统设置界面改版，这个选项的位置变了。Sonoma 里它藏在“隐私与安全性”页面最底部，而且即使你用命令打开了，系统也可能在某个更新后悄悄重置。我遇到过两次，一次是 14.4 小版本更新，一次是装了某个企业级 MDM 配置描述文件，Gatekeeper 又被重新启用。

另一个更精细的做法是用 spctl 单独放行某个应用：

sudo spctl --add --label "MyApps" /Applications/某个应用.app sudo spctl --enable --label "MyApps"

这样只对指定应用开绿灯，全局策略不动。适合那种你信任某个开发者、但不想把所有来源都打开的情况。缺点是每次系统大版本升级，label 可能失效，得重新加。

还有人用 xattr 命令直接删掉应用的隔离属性：

sudo xattr -rd com.apple.quarantine /Applications/某个应用.app

这招更粗暴。com.apple.quarantine 是文件下载时系统打上的标记，Gatekeeper 看到这个标记才触发检查。删掉它，等于告诉系统“这文件不是下载来的，别管”。效果立竿见影，但安全性自己担着。我一般只在确认来源可靠、且应用本身没有网络行为的时候用这招。

苹果为什么要把这个开关藏起来？官方的说法是防止用户被诱导关闭安全机制。实际效果是，懂的人照样关，不懂的人卡在半路。我见过设计师下载了一个汉化版 Adobe 插件，折腾半小时没装上，最后跑去买了正版——苹果这招说不定还真促成了几笔交易。

但更常见的场景是：你从某个独立开发者的小站下载了一个菜单栏工具，它没公证，没签名，但你就是需要它。这时候 spctl --master-disable 是唯一的路。用完记得关回去，终端里再跑一遍：

sudo spctl --master-enable

别长期开着。Gatekeeper 虽然烦，但它确实拦住了不少伪装成“破解版”的恶意软件。我自己的习惯是：装完那个未公证的应用，立刻把总开关拨回去。那个应用已经装好了，Gatekeeper 不会再拦它，但新下载的东西还会被检查。

最后说一句：如果你用的是公司配的 Mac，这些命令可能被 MDM 策略锁死。终端里跑 spctl --master-disable 会报错“operation not permitted”。这时候只能找 IT 部门，或者用个人设备干活。苹果把安全决策权交给企业管理员，普通用户反而成了二等公民。