（题图来源于：Keychain Access MacOS Xcode Dialog Box Electronics Accessory PNG - Free Download）

近期正好处理了一下项目的 iOS 打包流程，将之前并不清晰的流程梳理了一下。其中老项目中遗漏的最复杂的一个问题就是关于 macOS 下进行版本签名的处理方式，这次借这个机会终于将其解决掉了，特此在这篇文章中记录一下，希望以后的人可以参考，少走弯路。

阅读本文需要如下前提知识：

基本上做过在 macOS 下使用 Jenkins 进行过UE4 iOS 构建的人都能够掌握，如果你还没有遇到过关于iOS签名的问题，可能这篇文章对你的帮助并不大。

先简单介绍一下大致UE4下 iOS版本签名原理以及之前项目中使用的传统方案。

iOS App 在签名的过程中，主要涉及到两个文件，一是 Provision 文件，二是证书文件（P12）。 Provision 文件相对比较简单，只要复制到对应的目录（一般是 ~/Library/MobileDevice/Provisioning Profiles）即可。证书文件使用起来相对复杂一些，需要将证书文件导入到登录钥匙串（Login Keychain）。如果只是使用 Xcode 开发 iOS App 还方便一些，因为 Xcode 帮忙隐藏掉了大部分的问题，但是在 UE4 下通过 UAT 进行签名时，就会发现经常遇到让人挠头的 codesign errSecInternalComponent 问题。

这个问题在 Apple 官方没有详细的说明，一般来说出现 errSecInternalComponent 问题表示当前运行 codesign 时，证书权限出现了一些问题，这些问题基本可以分为以下几个类别：

在之前的项目中，由于当时对整个流程认识有限，使用的方案比较简单手工操作较多，并不能实现全部的自动化配置。当时主要配置方法如下（分别对应上述的几个问题）：

按照上述方法设置的证书可以正常应用在UE4打包流程中，一般不会遇到证书相关的问题。如果依然出现了证书问题，请再次确认上述配置方法是否一致，并尝试使用 codesign 命令手动签名，codesign命令的具体参数可以在 UE4 Log 中找到。

虽然传统方法可以达到 iOS 自动化打包的目的，然而很多步骤都需要手工处理总是一块心病，所以根据之前的方法，总结了一下需要研究解决的问题：

首先第一步就是使用 SSH 连接 Jenkins Slave，避免使用在 Mac 下运行 Jenkins Slave Agent 的方式。这样的好处是可以避免手动在 Mac 下配置 Slave 相关的环境，并且在编译机重新启动以后，可以由 Jenkins Master 自动连接 Slave，不需要手动登录到 Mac 桌面环境。这方面的配置在网上介绍的已经非常详细了（可以参考文章最后的参考2连接），这里不再赘述。

为了达到尽量不污染宿主机的目的，所以建议使用临时 Keychain 的方案来保存导入的证书，在使用完毕以后，将整个 Keychain 进行删除。

创建 Keychain 的方法是：

注： 在本文中，以$开头的大写字母表示需要配置的参数，一般通过参数名称即可知道其语义，如果前后命令使用了相同的参数名，表示需要使用相同的值。在实际使用中，请根据情况替换为文本或者其他类型的参数。本文后面会使用相同风格的写法，不再重复说明。

下面简单介绍一下使用的参数：

当使用完毕后，可以通过如下命令删除临时 Keychain，如果使用 Jenkins Pipeline 的话，可以写在 cleanup stage 里面 ：

使用如下命令导入 P12 文件到 Keychain：

其中：

从 macOS Sierra 开始，Apple 使用了新的 Keychain 管理策略 Partition List，然而并没有什么公开的资料来说明修改以后的使用方法，通过查阅网上的各种资料，基本使用方法总如下：

简单解释一下这个命令：

当创建了 Keychain 并导入证书以后，此时如果使用 security find-identity 查找证书的话，其实是无法找到刚刚导入的证书的。原因是新创建的 Keychain 并没有在搜索路径中，需要手动将新创建的 Keychain 加入到搜索路径中：

其中 security list-keychains | xargs 是为了已经在搜索路径中的 Keychain 也加入到新的搜索路径中，-s 参数只能设置搜索路径，并不能增量添加。

在某些文章中使用了：

来设置默认 Keychain，我个人认为这样做有些问题，因为会覆盖掉原来搜索路径设置，在任务结束以后不好恢复到初始状态。而且使用 list-keychains 设置的搜索路径，在删除掉临时 Keychain 以后，会自动恢复为原始的搜索路径，会比较方便。

创建 Keychain 后，可以设置一下 keychain 的超时自动锁定时间：

其中 3600 表示超过 3600 秒以后自动锁定Keychain。

在实际使用 Keychain 之前，可以先解锁一下 Keychain，避免由于某种特殊原因系统将其锁定：

如果所有的设置都已经完成了，依然遇到权限问题，那么可以检查一下在系统中是否有且只有唯一的证书用于签名：

解释一下参数：

如果本机只有单独一个用于签名的证书，那么这个命令应当只返回唯一的结果；如果本机有多个用于签名的证书，那么应当会返回多个不同的结果。我遇到的一个问题是，这个命令返回了多个相同的结果，猜测与我之前将证书导入到 Login Keychain 有关系。如果遇到了和我一样的问题，那么手动到钥匙串访问中，删除所有相关的证书以及专用秘钥（如下图所示的两项内容），然后再重新进行导入到临时 Keychain。

上面写的比较分散，在这里贴一部分相关的 Pipeline 代码，用于最终参考：

注意上述代码中有很多变量需要定义，仅用于参考，不可直接使用。

（2021年11月22日更新，感谢 @RakuBun 提供的信息）

如果配置都没有问题，然而在 codesign 时还是出现的证书相关的错误，那么请注意是否是 WWDR（Apple Worldwide Developer Relationship）证书过期的问题。Apple 在 2021年1月28日起启用新的根证书来签发开发者证书，所以如果你的证书是在这个日期以后签发的，一定要使用新的根证书。可以点击这里直接下载，或者访问Apple 关于这个问题的说明页面。另外，也可以参考UDN上王弥曾经回答过的类似问题。