雲端 Mac 安全檔案交接：暫存、驗證與權限收斂

團隊將簽署資料、測試數據或等待驗收的建置產出傳到雲端 Mac 時，最常見的錯誤就是直接把檔案放進儲存庫根目錄。檔案一落地，索引器、建置指令碼與清理工作就可能立刻讀取；如果壓縮檔含有越界路徑、錯誤權限或未註明的延伸屬性，問題便會直接擴散到工作區。更穩妥的做法，是將「傳輸」與「使用」拆成兩個階段。

先定義交接邊界

每次交接至少要明確定義四項資訊：傳送者、接收者、檔案用途與保留期限。原始碼修補程式、測試夾具、建置產出與認證資訊不能混放在同一個壓縮檔中。認證資訊應透過受控的注入機制提供，不應進入聊天紀錄、建置日誌或一般檔案包。

即使使用 VMRunner 的獨享實體節點，也應為每項工作建立獨立的暫存目錄，而不是重複使用長期存在的 Downloads。目錄名稱可以採用工單編號或內部工作編號，但不要包含客戶名稱、電子郵件地址或其他敏感資訊。

umask 077
handoff_root="$HOME/Handoffs/task-4821"
install -d -m 700 "$handoff_root/incoming"
install -d -m 700 "$handoff_root/verified"
install -d -m 700 "$handoff_root/logs"
stat -f '%Su %Sg %Sp %N' "$handoff_root" "$handoff_root/incoming"

umask 077 會讓後續建立的檔案預設僅開放給目前使用者。install -d 能在建立目錄的同時設定權限，避免目錄先建立、稍後才修正權限所造成的短暫暴露。

暫存區的目的不是永久保存檔案，而是在檔案進入專案工作區之前，提供一層可檢查、可拒絕且可清理的緩衝區。

傳送前建立可核對的清單

傳送方應先固定目錄內容，再產生摘要。不要一邊計算雜湊，一邊讓建置工作繼續改寫產出，否則接收方取得的清單可能對應到不同版本。建議先將檔案複製到唯讀的交付目錄，確認檔案數量後，再產生 SHA-256 清單。

打包時排除多餘內容

交付原始碼時，應排除 .git、本機快取、衍生資料與環境檔案。交付建置產出時，則要保留必要的簽署結構與延伸屬性，不要只為了縮小容量就任意重新封裝應用程式目錄。

cd "$HOME/Delivery/task-4821"
find . -type f ! -name 'SHA256SUMS' -print0 \
  | sort -z \
  | xargs -0 shasum -a 256 > SHA256SUMS
shasum -a 256 SHA256SUMS

接收方必須透過已確認的內部管道，另外取得 SHA256SUMS 本身的摘要。如果清單與檔案都從同一條未經驗證的路徑傳入，攻擊者便可能同時替換兩者。

接收後先驗證再解壓縮

檔案應先進入 incoming，而不是直接覆寫儲存庫。接收完成後，先記錄名稱、大小、擁有者與權限，再比對摘要。只要有任何一項不符，就應立即停止，不要嘗試「修好後繼續使用」，因為差異可能源自傳輸中斷、傳送方重新打包，或檔案遭到替換。

cd "$handoff_root/incoming"
shasum -a 256 -c SHA256SUMS
find . -maxdepth 2 -print0 \
  | xargs -0 stat -f '%z %Su %Sg %Sp %N' \
  > "$handoff_root/logs/received-files.txt"

先檢查壓縮檔路徑

ZIP 壓縮檔應先執行 unzip -l package.zip，tar 封裝檔則先執行 tar -tf package.tar。凡是包含絕對路徑、../ 越界路徑或非預期符號連結的檔案包，都應拒絕接收。確認無誤後，只能解壓縮到空目錄，接著重新執行檔案清單與權限檢查。

macOS 檔案也可能附帶延伸屬性。使用 xattr -lr 查看來源標記與其他屬性，不要習慣性地遞迴清除。只有在明確知道屬性來源、理解其影響，而且工作確實有此需求時，才能針對指定檔案處理指定屬性。

移入工作區時收斂權限

驗證通過後，先將檔案複製到 verified，再由專案負責人移入工作區。如此可保留一份與原始接收內容分離的驗收版本。一般資料可設定為目前使用者可讀寫；只供建置程序讀取的固定輸入，則可改為唯讀。

cp -R "$handoff_root/incoming/ProjectInput" \
  "$handoff_root/verified/"
chmod -R go-rwx "$handoff_root/verified"
find "$handoff_root/verified" -type f -exec chmod 600 {} +
find "$handoff_root/verified" -type d -exec chmod 700 {} +

不要對整個專案盲目執行遞迴 chmod。可執行指令碼、應用程式套件與框架各有不同的權限需求，全部統一改成 600 可能破壞後續工作。權限收斂只適用於本次暫存副本；正式匯入時，應依照儲存庫紀錄或建置規則恢復必要權限。

如果多人透過同一台雲端 Mac 協作，應優先使用獨立的系統使用者與獨立目錄。暫時開放全域讀寫權限雖然方便，卻會導致檔案來源與修改責任無法追蹤。

收尾時確認沒有殘留

工作結束前，先確認專案已取得所需檔案，並記錄最終摘要。接著檢查是否仍有解壓縮副本、失敗後重試的檔案包、日誌附件，以及仍開啟檔案的處理程序。lsof +D 在大型目錄上可能執行較慢，因此只應針對本次暫存目錄使用。

lsof +D "$handoff_root" 2>/dev/null
find "$handoff_root" -type f -maxdepth 4 -print
rm -rf "$handoff_root"
test ! -e "$handoff_root" && printf '%s\n' 'handoff removed'

刪除暫存區不代表金鑰治理已經完成。如果敏感值曾進入命令列參數、Shell 歷史紀錄、建置日誌或錯誤報告，還必須清理對應紀錄並輪替該項認證資訊。一般交接只需保留最少量的稽核資訊：工作識別碼、傳送與接收時間、清單摘要、驗收結果及刪除結果，不保留檔案正文。

穩定的遠端協作流程不應依賴「大家記得小心」，而是要求檔案依序經過隔離、驗證、授權與回收四個明確步驟。將這些命令封裝成團隊指令碼後，也應定期使用無害樣本測試雜湊失敗、越界路徑與權限異常，確保拒絕流程與正常流程同樣能可靠執行。

常見問題