macOS怎么从Python官网下载pkg安装包并验证签名

叶初

发布时间：2026-11-09 | 6人浏览过

原创

详细讲解在 macOS 系统上从 Python 官网安全下载 pkg 安装包的具体步骤，并通过终端内置的 pkgutil 与 spctl 命令验证 Apple Developer ID 签名与公证状态的实用教程。

系统平台：macOS 11+ / Apple Silicon & Intel 核验工具：pkgutil / spctl 安全标准：Developer ID 信任链

在 macOS 系统中，从 Python 官方网站（python.org）获取并安装软件的核心路径是：通过官方发布页面下载对应架构的 .pkg 安装包，在双击运行前打开终端，使用系统自带的 pkgutil --check-signature 确认证书属于 Python 软件基金会（Team ID: B6J9K6MT8W），再借助 spctl -a -vv -t install 核查 Apple 官方公证审计状态。两项验证通过后再执行安装，能彻底杜绝非官方镜像投毒、中间人篡改或恶意仿冒包带来的系统级风险。

一、从 Python 官网选择并下载匹配的 macOS 安装包

下载安装包的第一原则是坚持访问官方源站。Python 的官方网站为 https://www.python.org。在浏览器中打开该地址后，导航至顶部菜单的 Downloads > macOS，或者直接访问专用发布页面 https://www.python.org/downloads/macos/。

进入页面后，可以在稳定版本列表（Stable Releases）中找到目标版本的安装条目。由于 macOS 硬件架构经历过架构演进，官方提供了不同适配目标的安装包。选择时需根据你的系统和机型做出明确区分：

macOS 64-bit universal2 installer（标准推荐）：适用于 macOS 11（Big Sur）及更高版本的操作系统。它同时包含针对 Apple Silicon 芯片（M1/M2/M3/M4 系列）的 arm64 切片与针对 Intel 芯片的 x86_64 切片。绝大多数现代 Mac 用户都应直接下载此版本，无需担心硬件架构兼容问题。
macOS 64-bit Intel installer（旧版兼容）：专门为仍运行 macOS 10.9 至 10.15 遗留系统的 Intel 架构 Mac 保留。在现代 Apple Silicon 设备上下载此安装包会导致需要 Rosetta 2 转译且性能受损，因此不应作为首选。

点击下载链接后，浏览器会将形如 python-3.12.x-macos11.pkg 的文件保存到本机的“下载”（~/Downloads）文件夹。在此阶段，请不要急于双击运行安装。在现代操作系统安全模型中，网络下载的文件在获得系统级执行权限之前，进行本地加密核验是防止安全威胁的关键屏障。

二、理解 macOS pkg 签名机制与双层信任体系

macOS 的 .pkg 文件属于平坦安装程序包（Flat Package），其内部不仅包含将要写入 /Library/Frameworks/Python.framework 和 /usr/local/bin 的二进制文件，还可能包含在安装前（preinstall）与安装后（postinstall）执行的 Shell 脚本。如果安装包被篡改或植入后门，脚本将以当前用户甚至超级管理员（root）权限执行。

为了保护终端用户免受恶意安装程序的威胁，Apple 在 macOS 体系中建立了双层安全防护：

PKI 数字证书信任链（Developer ID Installer）：由 Apple 根证书（Apple Root CA）逐级颁发给合法开发组织。Python 官方打包团队拥有由 Apple 签发的安装程序证书，其组织全称为 Developer ID Installer: Python Software Foundation，附带固定的开发者团队标识符（Team Identifier）B6J9K6MT8W。数字签名使用开发者的私钥对安装包的散列摘要进行加密，一旦包内任何文件或脚本被修改一个字节，签名便会立即失效。
Apple 云端公证机制（Notarization）：自 macOS 10.15 起，Apple 要求所有分发给用户的独立软件必须通过公证服务（Apple Notary Service）。Python 发行版管理员在打包完成后，会将安装包提交给 Apple 进行自动化的静态安全扫描。扫描确认无已知恶意软件后，Apple 会签发公证票据（Ticket）。macOS 的门禁系统（Gatekeeper）在安装时会核查此票据，确认该软件包已经过 Apple 的合规审计。

三、在终端执行签名核验的具体操作步骤

验证数字签名无需安装任何第三方工具，macOS 系统自带了完整的底层安全核验实用程序。请按下快捷键 Command + 空格键 唤起聚焦搜索，输入 Terminal（终端）并回车打开。

在终端中，首先切换到安装包所在的目录。如果文件保存在默认的“下载”文件夹中，执行以下命令：

执行命令

cd ~/Downloads

1. 使用 pkgutil 核验开发者证书链与 Team ID

pkgutil 是 macOS 底层负责软件包查询与管理的工具，其 --check-signature 参数能够解析并验证 .pkg 文件上的数字证书签名链，确认其是否可信以及签署方身份。

在终端中执行以下命令（以 python-3.12.2-macos11.pkg 为例，实际操作时请替换为您下载的具体文件名，支持使用 Tab 键自动补全）：

执行命令

pkgutil --check-signature python-3.12.2-macos11.pkg

示例输出（实际执行结果可能随版本微调）

Package "python-3.12.2-macos11.pkg":
   Status: signed by a certificate trusted by Mac OS X
   Certificate Chain:
    1. Developer ID Installer: Python Software Foundation (B6J9K6MT8W)
       SHA1 fingerprint: FA 5B 5F 87 D6 C3 FD 89 B8 7B A3 C1 C1 B9 7E B8 C7 1B DD 93
       -----------------------------------------------------------------------------
    2. Developer ID Certification Authority
       SHA1 fingerprint: 3B 16 6C 3B 7D C4 B7 51 C9 FE 2A FA B0 F6 05 A1 1E 8E A1 03
       -----------------------------------------------------------------------------
    3. Apple Root CA
       SHA1 fingerprint: 61 1E 5B 66 2C 59 3A 08 FF 58 D1 4A E2 24 52 D1 98 DF 6C 60

核验判断依据：

Status 字段：必须明确显示 signed by a certificate trusted by Mac OS X，表示签名完整且受系统信任。
第 1 级叶子证书：必须明确显示为 Developer ID Installer: Python Software Foundation (B6J9K6MT8W)。括号内的字符串 B6J9K6MT8W 是 Python 软件基金会在 Apple 注册的唯一团队标识（Team Identifier），是识别正版官方签名的核心标识。
上级中介与根证书：第 2 级为 Developer ID Certification Authority，第 3 级必须为 Apple Root CA，表明证书链条最终收敛于系统内置信任锚。

安全警示：如果 pkgutil 输出显示证书颁发者是其他个人、未知公司，或者 Team ID 不为 B6J9K6MT8W，说明该安装包并非由 Python 官方基金会打包签署。此时切勿继续运行，应立即删除。

2. 使用 spctl 核验 Apple Gatekeeper 公证状态

spctl（SecAssessment 命令行前端）用于评估文件是否符合系统的安全策略评估（Gatekeeper）。通过指定 -t install 参数，可以专门针对安装包评估其是否具备 Apple 云端公证的放行记录。

执行命令

spctl -a -vv -t install python-3.12.2-macos11.pkg

示例输出

python-3.12.2-macos11.pkg: accepted
source=Notarized Developer ID
origin=Developer ID Installer: Python Software Foundation (B6J9K6MT8W)

核验判断依据：

第一行末尾必须明确显示 accepted，表示 macOS 评估策略已放行。
source 字段必须明确标明 Notarized Developer ID，确认该安装包已通过 Apple 的恶意代码公证审查。
origin 字段再次确认开发者标识为 Python Software Foundation (B6J9K6MT8W)。

3. （可选）使用 shasum 比对官方 SHA-256 哈希值

除了数字签名与苹果公证外，Python 官方在每次版本发布页面（如 https://www.python.org/downloads/release/python-3122/）底部均会公开该文件的 SHA-256 校验和（Checksum）。通过计算本地文件的哈希指纹，可以确认下载过程中文件是否完整、有无因网络波动导致数据截断。

执行命令

shasum -a 256 python-3.12.2-macos11.pkg

示例输出

a1b2c3d4e5f6...3122a0  python-3.12.2-macos11.pkg

将终端输出的一长串 64 位十六进制字符与官网对应表格中的 MD5/SHA256 字符串进行核对，如果完全一致，即可确信下载无任何传输误差。

四、异常状态分析与排查对照表

在实际验证过程中，若命令输出与预期不符，切勿强行绕过安全提示。下表总结了常见异常现象、背后原因与正确的应对措施：

异常表现	可能诱因	安全处置步骤
`Status: unsigned package`	安装包未进行数字签名，或为非官方第三方自制包。	高风险。立即移入废纸篓清空，重新到官方网站下载。
Team ID 显示为非 `B6J9K6MT8W` 的其他字符	有第三方使用自建苹果开发者账号重新打包，可能嵌入后门。	极高风险。切勿输入管理员密码授权安装，彻底清除文件。
`spctl` 输出 `rejected`	未通过 Apple 公证，或软件包含已被吊销的恶意代码。	系统默认会阻止运行，切勿通过“右键强制打开”忽略警告。
`shasum` 计算得到的散列值与官网不符	下载中断、保存不完整，或遭遇局部网络代理缓存污染。	删除残缺安装包，更换可靠网络环境重新从官网下载。

五、安全执行安装与后续环境确认

当 pkgutil 和 spctl 双重验证均返回合规信息（signed by a certificate trusted、Team ID: B6J9K6MT8W 与 accepted）后，便可确认当前安装包具备完备的真实性与完整性。

此时，你可以安全地在访达（Finder）中双击运行该 .pkg 文件，按照官方安装向导顺利进行下一步；或者在终端中直接调用系统安装器命令：

执行命令（可选终端静默安装）

sudo installer -pkg python-3.12.2-macos11.pkg -target /

安装完成后，建议在终端中输入以下指令核对 Python 路径和版本：

执行命令

python3 --version
which python3

示例输出

Python 3.12.2
/Library/Frameworks/Python.framework/Versions/3.12/bin/python3

补充建议：官方 macOS 安装包完成安装后，推荐前往 /Applications/Python 3.x/ 目录，双击运行其中的 Install Certificates.command 脚本。该脚本会自动为 Python 运行环境安装更新的根证书捆绑包（Certifi），防止在后续使用 urllib 或 requests 发起 HTTPS 请求时遭遇 SSL 证书核验失败的问题。