蘋果的需求
- 為了保證系統的安全性，所有iPhone上安裝的應用必須是經過蘋果授權的
- 安裝包不需要上傳到App Store也能被安裝 （開發除錯 企業灰度）
- 防止證書許可權濫用：裝置限制、指定APP、iCloud/PUSH/後臺執行等附加許可權控制
蘋果的解決方案：雙層程式碼簽名+描述檔案:
這裡畫一張圖附上：
如果要實現驗證，最簡單的方式就是蘋果官方生成一對RSA公私鑰，在iOS系統中內建一個公鑰，私鑰由蘋果後臺儲存，我們上傳APP到App Store時蘋果後臺用私鑰對APP資料進行加密，iPhone下載APP後用公鑰驗證這個簽名就可以確認APP是否經過允許或被三方篡改過。但是，我們安裝APP並不僅僅只有App Store這一個方式，比如真機除錯、企業包等，所以只靠這個簡單的數字簽名方式是不夠的。
於是蘋果設計了雙層簽名的機制，我們都知道iOS的應用開發必須在Mac系統下進行，正是由於這個依賴關係，雙層簽名才有了基礎：
- 在Mac系統中生成一對非對稱加密演算法的公私鑰M（Xcode會幫你做好）
- 蘋果自己有固定的一對公私鑰，正如上述最簡單的程式碼簽名中提到的：私鑰A在蘋果後臺，公鑰A在每個iOS系統的手機中
- 把公鑰M以及一些開發者資訊（也就是CSR檔案）傳送給蘋果後臺，用蘋果後臺的私鑰A對公鑰M簽名，得到一份包含公鑰M以及其簽名結果的資料就是證書（.p12）。
- 在開發時，當我們打包時會用本地的私鑰M（也就是可匯出給小夥伴的開發者證書）對這個APP進行簽名，同時把第三步得到的證書一起打包進APP裡，然後安裝到手機上（真機聯調）或者提交App Store稽核
- 安裝時，iOS系統取得內建公鑰A去驗證公鑰M的數字簽名證書是否正確
- 驗證公鑰M是蘋果認證過的後，再用公鑰M去驗證APP的簽名，這樣就間接驗證了這個APP的安裝是經過蘋果允許的了（注意這裡只驗證安裝行為，不驗證APP是否被改動，因為開發階段APP內容總是不斷變化的）
有了上面的過程已經可以保證開發者的認證和程式的安全了，但是如果只有上述的過程，那豈不是隻要申請了一個證書就可以安裝到所有的iOS裝置了？所以，蘋果又增加了授權檔案（Provisioning profile）的驗證，Provisioning profile一般包括三樣東西：證書、APP ID、裝置。
描述檔案是在AppleDevelop網站建立的(在Xcode中填上AppleID它會代辦建立)，Xcode執行時會打包進入APP內。在開發時，編譯完一個 APP 後，用本地的私鑰M對這個APP進行簽名，同時把從蘋果伺服器得到的 Provisioning Profile 檔案打包進APP裡，檔名為embedded.mobileprovision，當把APP安裝到手機上時，iOS系統會進行驗證。
以上就是iOS應用簽名的原理，下一篇我會基於這個原理給大家手擼一個自動重簽名的指令碼。