用途：面向 macOS 原生/闭源应用（.app/.dylib/.framework）的逆向分析，重点在签名与公证、entitlements、沙箱与 TCC、钥匙串与 Secure Enclave，以及授权/分发状态与信任链问题（Dylib Hijacking、注入面、TCC 依赖）。不用于 iOS（转 re-ios）、纯 Mach-O 格式解析（转 re-format-macho）、Linux/Windows 目标，或仅需抓网络与文件行为且无 macOS 特有面的场景。
主要能力与用法：用 codesign、spctl、otool、lipo、plutil、xattr 检查包结构与签名，例如 codesign -dv Sample.app、spctl -a -vv Sample.app、defaults read Sample.app/Contents/Info.plist、lipo -archs；用 codesign -d --entitlements :- Sample.app 查看 entitlements 与沙箱键；用 otool -L 与 otool -l 查看 dyld 依赖与 RPATH；用 lldb 动态调试，attach 前先处理 PT_DENY_ATTACH；用 Hopper/IDA/Ghidra 反编译。TCC 库位于 ~/Library/Application Support/com.apple.TCC/ 与 /Library/Application Support/com.apple.TCC/，读取需 Full Disk Access。钥匙串关注 kSecAttrAccessible 与 kSecAttrAccessControl；Secure Enclave 密钥经 SecKeyCreateRandomKey 生成，私钥不可提取。
限制：TCC 与钥匙串数据属系统隐私，只读分析不导出内容；公证检查需网络，离线时用 codesign 本地信息替代并标注未验证；hardened runtime 下 DYLD_INSERT_LIBRARIES 可能无效；嵌套签名需逐层重签核对 CDHash；全部操作应在沙箱内执行。