syspolicyd

它在检查代码。首次打开大型App、安装软件，或解压含有大量可执行文件的归档，都会让它要检查的东西变多。开发者在构建并运行大量新二进制文件时，可能会看到更多活动。

通常什么也不用做。等安装或首次启动完成，活动就会停止。不要试图停用它或它执行的安全检查。如果什么都没在做，它却长时间很忙，就重新启动Mac。

syspolicyd所支持的Apple功能会检查App的签名，对于下载的软件，还会检查它是否经过公证。也就是说，它的活动跟随着来到你Mac上的代码。

你下载的文件会带有隔离标记，告诉macOS在首次打开时检查它们。App一旦经过检查并获准运行，之后启动就不需要同样的首次审查，所以活动集中在新软件出现的时候。

• 首次打开从互联网下载的App。
• 安装或更新App，包括捆绑了大量组件的大型App。
• 解压包含App或命令行工具的归档或磁盘映像。
• 会生成并运行大量新可执行文件的开发工作，例如构建和安装软件包。

有两条只读命令可以显示系统策略的判断，不会改动任何东西。在打开某个App之前，想知道它是否已签名并经过公证时，这两条命令很有用。

1. 运行spctl --status。Gatekeeper检查处于打开状态（这是正常状态）时，它会显示assessments enabled。
2. 对某个App的路径运行spctl --assess -vv /Applications/AppName.app。输出会说明该App是否为accepted，并有一行source=，例如Notarized Developer ID或Apple System，告诉你原因。
3. 要查看下载的文件是否仍带有隔离标记，运行xattr -l ~/Downloads/FileName。有com.apple.quarantine条目，表示macOS会在首次打开它时进行检查。

不要为了省CPU而关闭Gatekeeper、停用系统完整性保护或退出syspolicyd。这些改动会拿掉阻止不受信任软件运行的检查，而且syspolicyd反正也不会一直停着。

也不要用xattr去掉下载文件的隔离标记来跳过首次启动检查。正是这个标记让macOS在运行来自互联网的软件之前检查它，去掉它会绕过这项检查，而日常使用中Mac也不会因此变快。

如果macOS阻止了你信任的App，请用受支持的方式打开它：尝试打开一次后，前往苹果菜单>“系统设置”>“隐私与安全性”，向下滚动，然后点按“仍要打开”。该App会被存为例外，此后就能正常打开。

正常：打开、安装或解压软件时，CPU短暂活跃，工作完成后就结束。开发者会看到更多这样的活动，因为工具或App的每次新构建都是可能需要检查的新代码。

值得检查：你没有在安装或打开任何东西，syspolicyd却长时间很忙。看看是否有东西在后台安装，例如某个App的更新程序，并让它完成。如果什么都没在做，活动仍在继续，就重新启动Mac。