与第三方开发者共享 iOS 分发证书是否安全？答案

【问题标题】：Is it safe to share iOS distribution certificate with third party developer?与第三方开发者共享 iOS 分发证书是否安全？
【发布时间】：2017-01-05 20:30:34
【问题描述】：

我们有一个企业开发者帐户，我们正在与外部开发者合作开发应用程序。

外部开发人员需要能够为我们构建 ipa 文件。

从安全的角度来看，是否安全/建议我们共享分发证书（和私钥）和配置文件以便他们可以构建 ipa 文件？

如果我们共享分发证书（和私钥）会有什么问题吗？

【问题讨论】：

标签： ios provisioning-profile ipa in-house-distribution enterprise-distribution

【解决方案1】：

您不应该共享您的私钥。这是不安全的。请通读这篇文章。 https://developer.apple.com/library/ios/documentation/IDEs/Conceptual/AppDistributionGuide/MaintainingCertificates/MaintainingCertificates.html

它明确指出“更糟糕的是，如果其他人拥有您的私钥，那么该人可能会冒充您。如果在坏人手中，有人可能会尝试分发包含恶意代码的应用程序。这不仅会导致应用程序被拒绝，这也可能意味着您的开发者凭据可能会被 Apple 吊销。私钥仅存储在钥匙串中，如果丢失将无法找回。”

【讨论】：

我同意。不要与另一家公司共享您的企业分发签名身份。让他们构建二进制文件，然后在内部分发之前使用您的凭据对其进行签名/重新签名。使用私钥，他们将能够将应用程序分发给您公司的用户，并且该应用程序将在不提示最终用户信任新公司的情况下打开，因为看起来该应用程序是由您分发的。此外，正如@barryjones 所说，如果他们对您的证书/密钥进行恶意操作，您的证书将被 Apple 吊销，然后您的应用程序将不再工作。