自己验证

DisplayPilot 是还没有评价的新付费应用,所以请不要信我们的话。这一页的每条说法,都可以在你的 Mac 上用下面的命令亲自核对。这里引用的输出,逐字来自已发布的 5.0.2 版本。

一、它真的是我们的吗?Apple 公证过吗?

codesign -dv --verbose=2 /Applications/DisplayPilot.app
  Authority=Developer ID Application: yanming hua (7P2P353LBW)
  Format=app bundle with Mach-O universal (x86_64 arm64)
  flags=0x10000(runtime)

spctl -a -vv -t exec /Applications/DisplayPilot.app
  accepted
  source=Notarized Developer ID

xcrun stapler validate /Applications/DisplayPilot.app
  The validate action worked!

这个二进制用我们的 Developer ID 签名,Apple 扫描并公证过,且公证凭据钉扎在应用内,因此离线也能验证。任何被改动过的副本都过不了这三项。

二、下载的东西完整吗?

shasum -a 256 ~/Downloads/DisplayPilot-5.0.2.dmg
  d88cc144cb25b57dce109a7ac4f2dd93b33856268449bc49b07d26c9ccd73bdf

同一个值也写在 Homebrew cask 里,所以你有两个独立的地方可以对照:

brew cat huayanming/tap/displaypilot | grep sha256

如果对不上,不要运行这个文件。

三、它会偷偷联网吗?

应用自己的代码里只有一个网络端点:许可服务的 /api/redeem。它只在粘贴短码时被调用——以 DP- 开头的长码完全离线校验,永不联网。自动检查更新默认关闭(SUEnableAutomaticChecks 与 SUAllowsAutomaticUpdates 都是 false);你若手动打开,它只从我们站点取 appcast.xml,不取别的。

你可以自己盯:打开应用、让它空闲,然后在终端里执行:

lsof -i -P | grep -i displaypilot

在关闭自动更新检查时,这条命令什么都不输出。应用不会向我们发送使用数据、崩溃报告或任何标识符;里面没有统计代码。

四、断网也能激活吗?

关掉 Wi-Fi,把长 DP- 码粘进授权框,它会激活。公钥内嵌在应用里:用 Ed25519 在本机验签,且激活码不绑定设备。

五、这一页验证不了什么

如果上面任何一条命令的输出与这里写的不一致,那是我们的文档或构建有问题——请到支持页告诉我们,我们会公开修正。

我们怎么审查自己的产品(以及我们错在哪)