emrg: workflow 支持双 p12 方案 — Installer 独立 Secret 导入（rant 15:26，MACOS_INSTALLER_*）+ Sign pkg 优先 Installer 身份

.github/workflows/README.md

@@ -7,13 +7,20 @@
 
 | Secret | 用途 | 说明 |
 |---|---|---|
-| `MACOS_SIGNING_P12_BASE64` | 签名证书包 | **必须包含私钥！** `base64 < 含私钥的证书.p12` 的结果 |
+| `MACOS_SIGNING_P12_BASE64` | 签名证书包（Application） | **必须包含私钥！** `base64 < 含私钥的证书.p12` 的结果 |
 | `MACOS_SIGNING_P12_PASSWORD` | p12 导出密码 | 导出 p12 时设置的密码 |
 | `MACOS_SIGNING_IDENTITY` | 签名身份名称（可选） | `.app` 签名用 `Developer ID Application: ... (TEAMID)`（electron-builder 从 p12 自动发现）；pkg 签名自动检测 `Developer ID Installer` 身份，无需填此值 |
+| `MACOS_INSTALLER_IDENTITY` | Installer 身份（可选，双 p12 方案） | `Developer ID Installer: ... (TEAMID)`，Sign pkg 优先用此值 |
+| `MACOS_INSTALLER_P12_BASE64` | Installer p12（可选，双 p12 方案） | 含 Developer ID Installer 证书+私钥的 p12 的 base64；配置后 Import step 会额外导入它 |
+| `MACOS_INSTALLER_P12_PASSWORD` | Installer p12 密码（可选，双 p12 方案） | 导出 Installer p12 时设置的密码 |
 | `APPLE_ID` | Apple ID（公证） | notarytool 使用的 Apple ID 邮箱 |
 | `MACOS_NOTARY_APP_PASSWORD` | App 专用密码 | Apple ID → 登录与安全 → App 专用密码 |
 | `MACOS_NOTARY_TEAM_ID` | Team ID | 开发者账号 Team ID |
 
+**两种方案**（rant 2026-08-06T15:26 起支持）：
+- **单 p12 方案**（默认）：只配 `MACOS_SIGNING_*`，p12 内含双证书（Application + Installer），`security export -t identities` 导出
+- **双 p12 方案**（宿主已采用）：`MACOS_SIGNING_*` 含 Application，另配 `MACOS_INSTALLER_*` 含 Installer——CI Import step 分别导入两个 p12，Sign pkg 优先用 `MACOS_INSTALLER_IDENTITY`
+
 ## ⚠️ p12 必须包含两种证书（Application + Installer）
 
 **`.app` 签名**需要 **Developer ID Application** 证书；**pkg 签名**（`productsign`）需要 **Developer ID Installer** 证书——两者是独立的证书类型，缺一不可：

.github/workflows/build-release.yml

@@ -42,6 +42,11 @@ jobs:
  MACOS_SIGNING_P12_BASE64: ${{ secrets.MACOS_SIGNING_P12_BASE64 }}
  MACOS_SIGNING_P12_PASSWORD: ${{ secrets.MACOS_SIGNING_P12_PASSWORD }}
  MACOS_SIGNING_IDENTITY: ${{ secrets.MACOS_SIGNING_IDENTITY }}
+ # Installer 证书（rant 2026-08-06T15:26：双 p12 方案，宿主已配置 3 个新 Secret；
+ # 未配置时降级为单 p12 方案——Install 证书在 MACOS_SIGNING_P12_BASE64 内）
+ MACOS_INSTALLER_IDENTITY: ${{ secrets.MACOS_INSTALLER_IDENTITY }}
+ MACOS_INSTALLER_P12_BASE64: ${{ secrets.MACOS_INSTALLER_P12_BASE64 }}
+ MACOS_INSTALLER_P12_PASSWORD: ${{ secrets.MACOS_INSTALLER_P12_PASSWORD }}
  # 公证（P2 后半，rant 2026-08-06T10:06:55）：APPLE_ID 等 Secret 未配则跳过降级
  APPLE_ID: ${{ secrets.APPLE_ID }}
  MACOS_NOTARY_APP_PASSWORD: ${{ secrets.MACOS_NOTARY_APP_PASSWORD }}
@@ -80,20 +85,33 @@ jobs:
  echo "::error::MACOS_SIGNING_P12_BASE64 未包含可签名私钥（security import 仅导入证书链）。请从 Keychain Access 导出含私钥的 p12（证书右键 → 导出 → 勾选\"包含私钥\"），重新 base64 后更新 GitHub Secret。import 输出：${IMPORT_OUTPUT}"
  exit 1
  fi
+ # 双 p12 方案（rant 2026-08-06T15:26）：若配置了独立的 Installer p12
+ # Secret，则导入它（含 Developer ID Installer 证书+私钥），覆盖单 p12 方案。
+ # 未配置时降级为单 p12 方案（Installer 证书必须在 MACOS_SIGNING_P12_BASE64 内）。
+ if [ -n "${MACOS_INSTALLER_P12_BASE64:-}" ]; then
+ echo "==> 双 p12 方案：导入 Installer p12"
+ echo "$MACOS_INSTALLER_P12_BASE64" | base64 --decode > /tmp/installer.p12
+ INSTALLER_IMPORT="$(security import /tmp/installer.p12 -k /tmp/ci.keychain -P "$MACOS_INSTALLER_P12_PASSWORD" \
+ -T /usr/bin/codesign -T /usr/bin/productsign 2>&1)"
+ echo "$INSTALLER_IMPORT"
+ if [[ ! "$INSTALLER_IMPORT" =~ identit(y|ies)\ imported ]]; then
+ echo "::error::MACOS_INSTALLER_P12_BASE64 未包含可签名私钥（security import 仅导入证书链）。请重新导出含私钥的 Installer p12 后更新 GitHub Secret。import 输出：${INSTALLER_IMPORT}"
+ exit 1
+ fi
+ fi
  # 双证书存在性校验（v0.2.7 第 7 次构建根因：p12 只有 Developer ID
  # Application 证书——签 .app 成功，但 productsign 签 pkg 需要独立的
  # Developer ID Installer 证书，缺失报 "An installer signing identity (not
  # an application signing identity) is required" 的 cryptic 错误）。
- # 对称地，若只导出 Installer 而漏掉 Application，则 electron-builder
- # codesign .app 会找不到身份（跳过签名 → 公证失败）。因此两种证书
- # 必须同时存在（developer.apple.com → Certificates 分别创建，导出 p12
- # 时用 `security export -t identities` 一并导出全部身份）。
- # find-certificate 不受 policy 限制。
+ # 支持两种方案（rant 2026-08-06T15:26）：
+ # 单 p12 方案：MACOS_SIGNING_P12_BASE64 同时含 Application + Installer
+ # 双 p12 方案：MACOS_SIGNING_P12_BASE64 含 Application，MACOS_INSTALLER_P12_BASE64 含 Installer
+ # 两种证书必须同时存在。find-certificate 不受 policy 限制。
  # ⚠️ 必须用输出判空而非退出码：实测 find-certificate 无匹配证书时
  # 也返回 exit 0（正反两态验证，#455 教训）。
  for CERT_NAME in "Developer ID Application" "Developer ID Installer"; do
  if [ -z "$(security find-certificate -c "$CERT_NAME" -a /tmp/ci.keychain 2>/dev/null)" ]; then
- echo "::error::MACOS_SIGNING_P12_BASE64 缺少 $CERT_NAME 证书（签名必需）。Developer ID Application 用于签 .app（electron-builder codesign），Developer ID Installer 用于签 pkg（productsign），两张证书缺一不可。请在 developer.apple.com → Certificates 分别创建（或确认已创建），用 \`security export -t identities\` 连同私钥一并导出 p12 后更新 GitHub Secret。"
+ echo "::error::keychain 缺少 $CERT_NAME 证书（签名必需）。Developer ID Application 用于签 .app（electron-builder codesign），Developer ID Installer 用于签 pkg（productsign），两张证书缺一不可。单 p12 方案：用 \`security export -t identities\` 连同私钥一并导出；双 p12 方案：检查 MACOS_INSTALLER_P12_BASE64 是否正确配置。"
  exit 1
  fi
  done
@@ -166,16 +184,20 @@ jobs:
  # ⚠️ productsign 需要 Developer ID Installer 身份（非 Application 身份）——
  # 实测 #462：MACOS_SIGNING_IDENTITY 配 Application 身份报
  # "An installer signing identity (not an application signing identity) is required"。
- # 从 p12 自动检测 Installer 身份，缺失则明确报错指引宿主补证书。
+ # 优先用宿主配置的 MACOS_INSTALLER_IDENTITY（rant 2026-08-06T15:26 双 p12 方案），
+ # 未配置则从 keychain 自动检测 Installer 身份（单 p12 方案，#462）。
  - name: Sign pkg (macOS only)
  if: runner.os == 'macOS' && env.MACOS_SIGNING_P12_BASE64 != ''
  shell: bash
  run: |
  PKG="$(find dist/artifacts -maxdepth 1 -name 'EMRG-*-macos-*.pkg' | head -1)"
  if [ -z "$PKG" ]; then echo "no pkg found, skipping"; exit 0; fi
- INSTALLER_ID="$(security find-identity -v /tmp/ci.keychain | grep 'Developer ID Installer' | head -1 | sed -E 's/.*"([^"]+)".*/\1/')"
+ INSTALLER_ID="${MACOS_INSTALLER_IDENTITY:-}"
+ if [ -z "$INSTALLER_ID" ]; then
+ INSTALLER_ID="$(security find-identity -v /tmp/ci.keychain | grep 'Developer ID Installer' | head -1 | sed -E 's/.*"([^"]+)".*/\1/')"
+ fi
  if [ -z "$INSTALLER_ID" ]; then
- echo "::error::pkg 签名需要 Developer ID Installer 证书（productsign 不接受 Application 身份）。请在 Apple Developer 后台生成 Developer ID Installer 证书，下载导入钥匙串后随 p12 一并导出（security export -t identities 含全部证书+私钥），更新 MACOS_SIGNING_P12_BASE64。"
+ echo "::error::pkg 签名需要 Developer ID Installer 证书（productsign 不接受 Application 身份）。请配置 MACOS_INSTALLER_IDENTITY + MACOS_INSTALLER_P12_BASE64（双 p12 方案），或用 security export -t identities 导出含 Installer 的 p12 到 MACOS_SIGNING_P12_BASE64（单 p12 方案）。"
  exit 1
  fi
  productsign --sign "$INSTALLER_ID" "$PKG" "${PKG}.signed"