Hacktoberfest 2026 : les issues que les mainteneurs ont marquées pour octobre, ouvertes et accessibles aux débutants. Parcourir les issues Hacktoberfest

build(macos): ship the unsigned build without the App Sandbox (ReleaseUnsigned.entitlements)

Ouverte
  • Quelque chose ne va pas ?
#1,592 0 commentaires 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 1 jour

Personne n'a encore pris cette issue.

Évaluation

Difficulté
4/5
Temps estimé
3-5 jours
Accessibilité débutants
35/100
Type d'issue
Fonctionnalité
Clarté
Plutôt claire
Activité
Active
Stack technique
dart, github-actions, macos, sqlite
Domaine
build-system, databases, desktop, security

Piste de recherche

Read release.yml, the Xcode project settings, and the existing macos/Runner/Release.entitlements and ReleaseSigned.entitlements files. First determine how the no-secrets build currently selects entitlements; the issue leaves the sandbox decision open. Done means adding and wiring the chosen unsigned entitlements for CI and local release builds, then verifying Keychain, SQLite reopen, extensions, MCP endpoint, and updater behavior on a Mac.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

enhancement P1 stability

Problem

When the MACOS_* signing secrets are absent (forks, local builds, unsigned releases) the macOS app is built with ad-hoc signing and Release.entitlements, i.e. App Sandbox on. That is a different program from the signed build (ReleaseSigned.entitlements, no sandbox). Inside the sandbox:

  • HOME is ~/Library/Containers/com.queryahub.queryaDesktop/Data; ~/.querya/extensions and themes land in the container, not the real home.
  • Saved SQLite paths are not reopenable after restart (no security-scoped bookmarks); ~/.ssh keys and known_hosts are unreachable.
  • sandbox-exec for extensions cannot be applied from an already sandboxed process.
  • The MCP endpoint file is written to the container's Library/Caches/Querya, while querya-mcp started by an MCP client reads the real ~/Library/Caches/Querya.
  • The in-app updater cannot write to /Applications (see #1587; the app quits and never comes back).
  • Keychain access fails (#1586).

Proposal (recommended)

Add macos/Runner/ReleaseUnsigned.entitlements without the App Sandbox (same hardened-runtime-free set as needed for ad-hoc signing) and use it for the no-secrets path in release.yml and in local release builds, so an unsigned build differs from the signed one only by Gatekeeper.

Alternative: support the sandbox properly (bookmarks, bundled querya-mcp, explicit capability errors). Much more work.

Tasks

  • Decide sandbox vs no sandbox for unsigned builds.
  • New entitlements file and wiring in release.yml / Xcode project (CI step without secrets passes it via CODE_SIGN_ENTITLEMENTS).
  • Verify on a Mac: Keychain, SQLite reopen, extensions, MCP endpoint, updater.

Depends on / relates to #1586, #1587, #1591.

Langage dominant
Dart
Étoiles
23
Forks
1
Merge moyen
31 min
PR mergées (30 j)
570

Préparer son environnement

Ouvrir dans Codespaces

Lance le conteneur de développement du projet dans votre navigateur, avec votre propre compte GitHub.

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de QueryaHub/Querya-Desktop

Toutes les issues de QueryaHub/Querya-Desktop

Issues similaires

Plus d'issues Dart

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.