标题：如何用免费 macOS 开发者账号测试 Electron 应用沙盒文件访问？
对于使用 Electron 的桌面应用开发者而言，沙盒文件访问是一道绕不开的坎。尤其当手里的 Apple ID 只是免费开发者账号时，如何在 macOS 上验证“用户选择文件”后的读写权限，成了一件令人头疼的事。
Electron 应用在开发模式下通常不会被 App Sandbox 约束，一旦打包并签名，macOS 安全机制就会生效：应用只能访问自己的容器目录，或者通过 NSOpenPanel / NSSavePanel 获得用户明确授权的文件。为了测试这种授权行为，开发者必须让目标 .app 携带正确的 entitlements 并完成代码签名，才能真正模拟沙盒环境。
问题在于，免费 Apple ID 无法生成 Developer ID Application 证书，而不少 Electron 打包工具默认要求这种证书，导致构建阶段直接报错。许多开发者误以为免费账号根本无法进行沙盒测试。事实上，本地验证沙盒并不需要最终分发的证书，使用 ad-hoc 签名或 Apple Development 证书即可解决。
具体做法可以分三步走。首先，创建 entitlements.mac.plist 文件，其中至少要包含两个键：com.apple.security.app-sandbox 设为 true，以及 com.apple.security.files.user-selected.read-write 设为 true。如果应用只需要读取用户文件，可以改成 read-only，避免过度授权。
第二步，通过 Electron Builder 或 Electron Packager 生成一个尚未签名的 .app。在 Electron Builder 配置中，可将 mac.identity 设为 null，先跳过签名流程，得到产物目录。此时应用仍能运行，但不会受到沙盒限制，因此不能直接作为测试对象。
第三步是关键——对应用进行本地签名。如果已经在 Xcode 里添加了免费 Apple ID，并创建了 Mac Development 证书，可以在终端中使用类似这样的命令：
codesign --force --entitlements entitlements.mac.plist --sign "Apple Development: 你的名字" MyApp.app
若不想依赖 Apple 证书，也可以直接采用 ad-hoc 签名，把 --sign 后的参数换成 -。由于 Electron 应用包含多个 Helper 辅助进程和框架，最稳妥的做法是先用 find 列出所有可执行文件和 .app 子包，逐个签名，最后再对主 App 进行签名。这样能避免签名顺序错误引发的崩溃。
签名完成后，从访达手动启动该 .app，调用 dialog.showOpenDialog 方法打开系统文件选择器，选择任意文件后尝试用 fs 读取内容。若能够正常读取，说明沙盒文件访问配置生效；反之，则会遇到权限错误。
需要注意的是，免费开发者账号签出的应用只能用于本地调试，不能用于公证或 Mac App Store 上架。另外，不应在开发模式下直接运行 electron . 来测试沙盒行为，因为 CLI 启动的进程并未嵌入沙盒 entitlement。建议每次都使用重新签名后的 .app 进行测试，并清空应用容器目录，防止旧的缓存数据干扰结果。
社区中有开发者反映，免费账号在 macOS 13 之后的版本上偶尔会遇到“mach-o file but not an allowed architecture”等签名报错，这通常与 Apple Silicon 和 Intel 架构混用有关。此时可以尝试在 Xcode 中统一构建架构，或在打包时只生成当前平台所需的架构。
总之，免费开发者账号虽然不能用于上架，但不能沙盒测试的“伪命题”在 macOS 本地开发中依然有解。只要你理解 entitlements 的机制，并善用 ad-hoc 签名工具，就能在有限条件下验证 Electron 应用的文件权限逻辑，避免把问题拖到付费开发者账号阶段再去排查。