云端 Mac 安全文件交接：暂存、校验与权限收口

团队把签名材料、测试数据或待验收的构建产物传到云端 Mac 时，最容易犯的错误是直接丢进仓库根目录。文件一落地，索引器、构建脚本和清理任务便可能立即读取它；如果压缩包里带有越界路径、错误权限或未说明的扩展属性，问题会直接扩散到工作区。更稳妥的做法，是把“传输”和“使用”拆成两个阶段。

先定义交接边界

每次交接至少明确四项：发送者、接收者、文件用途和保留期限。源码补丁、测试夹具、构建产物与凭据不能混在同一个压缩包里。凭据应通过受控注入机制提供，不应进入聊天记录、构建日志或普通文件包。

在 VMRunner 的独享物理节点上，也应为每个任务建立独立暂存目录，而不是复用长期存在的 Downloads。目录名可以使用工单号或内部任务号，但不要包含客户名称、邮箱或其他敏感信息。

umask 077
handoff_root="$HOME/Handoffs/task-4821"
install -d -m 700 "$handoff_root/incoming"
install -d -m 700 "$handoff_root/verified"
install -d -m 700 "$handoff_root/logs"
stat -f '%Su %Sg %Sp %N' "$handoff_root" "$handoff_root/incoming"

umask 077 让随后创建的文件默认只对当前用户开放。install -d 同时创建目录并设定权限，避免先创建、后修权限之间出现短暂暴露。

暂存区的目标不是永久保存文件，而是在文件进入项目工作区前提供一个可检查、可拒绝、可清理的缓冲层。

发送前生成可核对清单

发送方应先固定目录内容，再生成摘要。不要一边计算哈希一边让构建任务继续改写产物，否则接收方得到的清单可能对应不同版本。建议先复制到只读交付目录，确认文件数量，再生成 SHA-256 清单。

打包时避免多余内容

交付源码时排除 .git、本地缓存、派生数据和环境文件。交付构建产物时则保留必要的签名结构与扩展属性，不要为了缩小体积随意重打包应用目录。

cd "$HOME/Delivery/task-4821"
find . -type f ! -name 'SHA256SUMS' -print0 \
  | sort -z \
  | xargs -0 shasum -a 256 > SHA256SUMS
shasum -a 256 SHA256SUMS

接收方需要通过已确认的内部渠道单独取得 SHA256SUMS 自身的摘要。若清单和文件从同一个未经验证的路径传来，攻击者可以同时替换两者。

接收后先验证再解包

文件应先进入 incoming，而不是直接覆盖仓库。接收完成后先记录名称、大小、所有者和权限，再比对摘要。任何一项不符都应停止，不要尝试“修好以后继续用”，因为偏差可能来自传输中断、发送方重新打包或文件被替换。

cd "$handoff_root/incoming"
shasum -a 256 -c SHA256SUMS
find . -maxdepth 2 -print0 \
  | xargs -0 stat -f '%z %Su %Sg %Sp %N' \
  > "$handoff_root/logs/received-files.txt"

先查看压缩包路径

对 ZIP 包先执行 unzip -l package.zip，对 tar 包先执行 tar -tf package.tar。拒绝包含绝对路径、../ 越界路径或意外符号链接的包。确认后只解压到空目录，再重新运行文件清单与权限检查。

macOS 文件还可能带有扩展属性。使用 xattr -lr 查看来源标记和其他属性，不要习惯性执行递归清除。只有在明确属性来源、理解影响且任务确实需要时，才对指定文件处理指定属性。

移入工作区时收紧权限

验证通过后，将文件复制到 verified，随后再由项目负责人移入工作区。这样可以保留一份与原始接收内容分离的验收版本。普通资料可设为当前用户读写；只供构建读取的固定输入可改成只读。

cp -R "$handoff_root/incoming/ProjectInput" \
  "$handoff_root/verified/"
chmod -R go-rwx "$handoff_root/verified"
find "$handoff_root/verified" -type f -exec chmod 600 {} +
find "$handoff_root/verified" -type d -exec chmod 700 {} +

不要对整个项目盲目执行递归 chmod。可执行脚本、应用包和框架具有不同权限需求，统一改成 600 可能破坏后续任务。权限收紧只针对本次暂存副本，正式导入时应按仓库记录或构建规则恢复必要权限。

如果多人通过同一台云端 Mac 协作，优先使用独立系统用户和独立目录。临时开放全局读写权限虽然方便，却会让文件来源和修改责任无法追踪。

收尾时验证没有残留

任务结束前先确认项目已经取得需要的文件，并记录最终摘要。随后检查是否存在解压副本、失败重试包、日志附件和仍打开文件的进程。lsof +D 在大型目录上可能较慢，因此只对本次暂存目录执行。

lsof +D "$handoff_root" 2>/dev/null
find "$handoff_root" -type f -maxdepth 4 -print
rm -rf "$handoff_root"
test ! -e "$handoff_root" && printf '%s\n' 'handoff removed'

删除暂存区不等于完成密钥治理。若敏感值曾进入命令行参数、Shell 历史、构建日志或错误报告，应继续清理相应记录并轮换该凭据。日常交接则保留最小审计信息即可：任务标识、发送与接收时间、清单摘要、验收结果和删除结果，不保留文件正文。

稳定的远程协作流程不依赖“大家记得小心”，而是让文件必须经过隔离、验证、授权和回收四道明确步骤。把这些命令封装成团队脚本后，还应定期用无害样本测试哈希失败、越界路径和权限异常，确保拒绝路径与正常路径同样可执行。

常见问题