引言
关于开发证书配置（Certificates & Identifiers & Provisioning Profiles），相信做 iOS 开发的同学没少被折腾。对于一个 iOS 开发小白、半吊子（比如像我自己）抑或老兵，或多或少会有或曾有过以下不详、疑问、疑惑甚至困惑：
什么是App ID？Explicit/Wildcard App ID有何区别？什么是App Group ID？
什么是证书（Certificate）？如何申请？有啥用？
什么是Key Pair（公钥/私钥）？有啥用？与证书有何关联？
什么是签名（Signature）？如何签名（CodeSign）？怎样校验（Verify）？
什么是（Team）Provisioning Profiles？有啥用？
Xcode如何配置才能使用iOS真机进行开发调试？
多台机器如何共享开发者账号或证书？
遇到证书配置问题怎么办？
Xcode 7免证书调试真机调试

本文将围绕相关概念及背景做个系统的梳理串烧，于条分缕析中对证书体系进行抽丝剥茧，逐步揭开签名机制的神秘面纱。图穷匕首见，水落而石出，包教不包会，不会请再来。
从 Xcode 7 开始支持普通 Apple 账号进行免证书真机调试，详情参考最新官方文档《Launching Your App on Devices》，或参考本文最后一节简介。

写在前面
1.假设你使用过 Apple 设备（iMac/iPad/iPhone）且注册过 Apple ID（Apple Account），详情参考《创建和开始使用 Apple ID》。
2.假设你或你所在的开发组已加入苹果开发者计划（Enroll in iOS Developer Program to become a member），即已注册开发者账号（Apple Developer Account）。

只有拥有开发者账号，才可以申请开发/发布证书及相关配置授权文件，进而在 iOS 真机上开发调试 Apps 或发布到 App Store。
开发者账号分为 Individual 和 Company/Organization 两种类型。如无特别交代，下文基于 $99/Year 的普通个人开发者（Individual）账号展开。

3.若要真机调试实践，你必须至少拥有一台装有 Mac OS X/Xcode 的 Mac 开发机（iMac or MacBook），其上自带原生的 Keychain Access。

****一.App ID（****bundle identifier）
在苹果官方的开发者计划（Apple Developer Member Center）层面，App ID 即 Product ID，用于标识一个或者一组 App。
在 Mac/iOS 开发语境中，bundle（捆绑） 是指一个内部结构按照标准规则组织的特殊目录。在 Mac OS 应用程序目录下的某个 .app 上可右键显示包内容（Contents），其本质上就是可执行二进制文件（MacOS/）及其资源（Resources/）的打包组合。因此，在 Xcode 中配置的 Bundle Identifier 必须和 App ID 是一致的（Explicit）或匹配的（Wildcard）。
App ID 字符串通常以反域名（reverse-domain-name）格式的 Company Identifier（Company ID）作为前缀（Prefix/Seed），一般不超过 255 个 ASCII 字符。
App ID 全名会被追加 Application Identifier Prefix（一般为 TeamID.），分为两类：
Explicit App ID：唯一的 App ID，用于唯一标识一个应用程序。例如“com.apple.garageband”这个 App ID，用于标识 Bundle Identifier 为“com.apple.garageband”的 App。
Wildcard App ID：含有通配符的 App ID，用于标识一组应用程序。例如“”（实际上是 Application Identifier Prefix）表示所有应用程序；而“com.apple.*”可以表示 Bundle Identifier 以“com.apple.”开头（苹果公司）的所有应用程序。

用户可在 Developer Member Center 网站上注册（Register）或删除（Delete）已注册的 App IDs。
App ID 被配置到【XcodeTarget|Info|Bundle Identifier】下；对于 Wildcard App ID，只要 bundle identifier 包含其作为 Prefix/Seed 即可。

****二******.设备（****Device）**
Device 就是运行 iOS 系统用于开发调试 App 的设备。每台 Apple 设备使用 **UDID **(Unique Device Identifier）来唯一标识。
iOS 设备连接 Mac 后，可通过 iTunes->Summary 或者 Xcode->Window->Devices 查看其UDID。
Apple Member Center 网站个人账号下的 Devices 中包含了注册过的所有可用于开发和测试的设备，普通个人开发账号每年累计最多只能注册100个设备。
Apps signed by you or your team run only on designated development devices.
Apps run only on the test devices you specify.

用户可在网站上注册或启用/禁用（Enable/Disable）已注册的Device。
本文的 Devices 是指**连接到 **Xcode 被授权用于开发测试的iOS设备（iPhone/iPad）。

****三******.开发证书（****Certificates）**
1.证书的概念
证书是由公证处或认证机关开具的证明资格或权力的证件，它是表明（或帮助断定）事理的一个凭证。证件或凭证的尾部通常会烙印公章。
每个中国人一生可能需要70多个证件，含15种身份证明。证件中“必需的”有30到40个。将这些证件按时间顺序铺开，那就是一个天朝子民的一生——持准生证许可落地，以户籍证明入籍，以身份证认证身份，持结婚证以合法同居，最终以死亡证明注销。
2.数字证书的概念
数字证书就是互联网通讯中标志通讯各方身份信息的一串数字，提供了一种在 Internet 上验证通信实体身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个由权威机构——CA机构，又称为证书授权中心（Certificate Authority）发行的，人们可以在网上用它来识别对方的身份。数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。
数字证书还有一个重要的特征就是时效性：只在特定的时间段内有效。

数字证书中的公开密钥（公钥）相当于公章。
某一认证领域内的根证书是 CA 认证中心给自己颁发的证书，是信任链的起始点。安装根证书意味着对这个 CA 认证中心的信任。
为了防止 GFW 进行中间人攻击(MitM)，例如篡改 github 证书，导致无法访问 github 网站等问题，可选择不信任 CNNIC：

在［钥匙串-系统］中双击 CNNIC ROOT，在【信任】|【使用此证书时】下拉选择【永不信任】。

3.iOS（开发）证书
iOS 证书是用来证明 iOS App 内容（bundle with executable and resources）的合法性和完整性的数字证书。对于想安装到真机或发布到 AppStore 的应用程序（App），只有经过签名验证（Signature Validated）才能确保来源可信，并且保证 App 内容是完整、未经篡改的。
iOS 证书分为两类：Development 和 Production（Distribution）。
Development 证书用来开发和调试应用程序：A development certificate identifies you, as a team member, in a development provisioning profile that allows apps signed by you to ***launch ***on devices.
Production 主要用来分发应用程序（根据证书种类有不同作用）：A distribution certificate identifies your team or organization in a distribution provisioning profile and allows you to ***submit ***your app to the store. Only a team agent or an admin can create a distribution certificate.

普通个人开发账号最多可注册 iOS Development/Distribution 证书各2个，用户可在网站上删除（Revoke）已注册的 Certificate。
下文主要针对 iOS App 开发调试过程中的开发证书（Certificate for Development）。
4.iOS（开发）证书的根证书
那么，iOS 开发证书是谁颁发的呢？或者说我们是从哪个 CA 申请到用于 Xcode 开发调试 App 的证书呢？
iOS 以及 Mac OS X 系统（在安装 Xcode 时）将自动安装 AppleWWDRCA.cer 这个中间证书（Intermediate Certificates），它实际上就是 iOS（开发）证书的证书，即根证书（Apple Root Certificate）。
AppleWWDRCA（Apple Root CA）类似注册管理户籍的公安机关户政管理机构，AppleWWDRCA.cer 之于 iOS（开发）证书则好比户籍证之于身份证。
如果 Mac Keychain Access 证书助理在申请证书时尚未安装过该证书，请先下载安装（Signing requires that you have both the signing identity and the intermediate certificate installed in your keychain）。

5.申请证书（CSR：Certificate Signing Request）
可以在缺少证书时通过 Xcode Fix Issue 自动请求证书，但是这会掩盖其中的具体流程细节。这里通过 Keychain 证书助理从证书颁发机构请求证书：填写开发账号邮件和常用名称，勾选【存储到磁盘】。

Keychain Access|Keys 中将新增一对非对称密钥对 Public/Private Key Pair（This signing identity consists of a public-private key pair that Apple issues）。同时，keychain 将生成一个包含开发者身份信息和公钥的

在 Apple 开发网站上传包含公钥的 CSR 文件作为换取证书的凭证（Upload CSR file to generate your certificate），有点类似为github账号添加SSH公钥到服务器上进行授权。

Apple 证书颁发机构 WWDRCA(Apple Worldwide Developer Relations Certification Authority) 将使用其 private key 对 CSR 中的 public key 和一些身份信息进行加密签名生成数字证书（ios_development.cer）并记录在案（Apple Member Center）。

Certificate 应被配置到【Xcode Target|Build Settings|Code Signing|Code Signing Identity】下，下拉选择 Identities from Profile "..."（一般先配置 Provisioning Profile）。以下是 Xcode 配置示例：

四****.供应配置文件（Provisioning Profiles）
1.Provisioning Profile 的概念
Provisioning Profile 文件包含了上述的所有内容：证书、App ID 和 设备 ID。

Provisioning Profile 把这些信息全部打包在一起，方便我们在调试和发布程序打包时使用。这样，只要在不同的情况下选择不同的 Provisioning Profile 文件就可以了。
Provisioning Profile 也分为 Development 和 Distribution 两类，有效期同 Certificate 一样。Distribution 版本的 ProvisioningProfile 主要用于提交 App Store 审核，其中不指定开发测试的Devices（0，unlimited）。App ID 为 Wildcard App ID（）。App Store 审核通过上架后，允许所有 iOS 设备（Deployment Target）上安装运行该App。
Xcode 将全部供应配置文件（包括用户手动下载安装的和 Xcode 自动创建的 Team Provisioning Profile）放在目录 ~/Library/MobileDevice/Provisioning Profiles 下。
2.Provisioning Profile的构成
以下为典型供应配置文件 .mobileprovision 的构成简析**：

（1）Name：该mobileprovision的文件名。

（2）UUID：该mobileprovision文件的真实文件名。

（3）TeamName：Apple ID账号名。

（4）TeamIdentifier：Team Identity。

（5）AppIDName：explicit/wildcard App ID name（ApplicationIdentifierPrefix）。

（6）ApplicationIdentifierPrefix：完整App ID的前缀（TeamIdentifier.*）。

（7）DeveloperCertificates：包含了可以为使用该配置文件应用签名的所有证书<data><array>。

证书是基于 Base64 编码，符合 PEM(PrivacyEnhanced Mail, RFC 1848) 格式的，可使用 OpenSSL 来处理（opensslx509 -text -in file.pem）。

从 DeveloperCertificates 提取 <data></data> 之间的内容到文件 cert.cer（cert.perm）：

-----BEGIN CERTIFICATE-----

将<data></data>之间的内容拷贝至此

-----END CERTIFICATE-----`

Mac 下右键 QuickLook 查看 cert.cer（cert.perm），在 Keychain Access 中右键 Get Info 查看对应证书 ios_development.cer，正常情况（公私钥 KeyPair 配对）应吻合；Windows 下没有足够信息（WWDRCA.cer），无法验证该证书。

如果你用了一个不在这个列表中的证书进行签名，无论这个证书是否有效，这个应用都将 CodeSign Fail。

（8）***Entitlements ***键<key>对应的<dict>：

keychain-access-groups：$(AppIdentifierPrefix)，参见Code Signing Entitlements(*.entitlements)。

每个应用程序都有一个可以用于安全保存一些如密码、认证等信息的 keychain，一般而言自己的程序只能访问自己的 keychain。通过对应用签名时的一些设置，还可以利用keychain的方式实现同一开发者签证（就是相同bundle seed）下的不同应用之间共享信息的操作。比如你有一个开发者帐户，并开发了两个不同的应用A和B，然后通过对A和B的 keychain access group 这个东西指定共用的访问分组，就可以实现共享此 keychain 中的内容。

application-identifier：带前缀的全名，例如$(AppIdentifierPrefix)com.apple.garageband。

com.apple.security.application-groups：App Group ID（group. com.apple），参见Code Signing Entitlements(*.entitlements)。

com.apple.developer.team-identifier：同Team Identifier。

（9）ProvisionedDevices：该mobileprovision授权的开发设备的UDID <array>。

Provisioning Profile被配置到【XcodeTarget|Build Settings|Code Signing|Provisioning Profile】下，然后在Code Signing Identity下拉可选择Identities from Profile "..."（即Provisioning Profile中包含的Certificates）。

五****.开发组供应配置文件（Team Provisioning Profiles）
1.Team Provisioning Profile的概念
每个 Apple 开发者账号都对应一个唯一的 Team ID，Xcode3.2.3 预发布版本中加入了 Team Provisioning Profile 这项新功能。
在 Xcode 中添加 Apple Developer Account 时，它将与 Apple Member Center 后台勾兑**自动生成 iOS Team Provisioning Profile（Managed by Xcode）。

利用 Xcode 生成和管理的 iOS Team Provisioning Profile 来进行开发非常方便，可以不需要上网站手动生成下载 Provisioning Profile。
Team Provisioning Profile 同 Provisioning Profile，只不过是由 Xcode 自动生成的，也被配置到【XcodeTarget|Build Settings|Code Signing|Provisioning Profile】下，同时需要在【XcodeTarget|General|Identity】下指定 Team 账号 ID。

六****.App Group （ID）
1.App Group 的概念
WWDC14 除了发布了 OS X v10.10 和 switf 外，iOS 8.0 也开始变得更加开放了。说到开放，当然要数应用扩展（App Extension）了。顾名思义，应用扩展允许开发者扩展应用的自定义功能和内容，能够让用户在使用其他应用程序时使用该项功能，从而实现各个应用程序间的功能和资源共享。可以将扩展理解为一个轻量级（nimble and lightweight）的分身。
扩展和其 Containing App 各自拥有自己的沙盒，虽然扩展以插件形式内嵌在 Containing App 中，但是它们是独立的二进制包，不可以互访彼此的沙盒。为了实现 Containing App 与扩展的数据共享，苹果在 iOS 8 中引入了一个新的概念——App Group，它主要用于同一 Group 下的 APP 实现数据共享，具体来说是通过创建使用以 App Group ID 标识的共享资源区——App Group Container 来实现的。
App Group ID 同 App ID 一样，一般不超过255个ASCII字符。用户可在网站上编辑 Explicit App IDs，将其纳入 App Group（Assignment）；也可删除（Delete）已注册的App Group （ID）。
2.App Group 的配置
Containing App 与 Extension 的 Explicit App ID 必须 Assign 到同一 App Group 下才能实现数据共享，并且 Containing App 与 Extension 的 App ID 命名必须符合规范：
置于同一App Group 下的 App IDs 必须是唯一的（Explicit，not Wildcard）
Extension App ID 以 Containing App ID 为前缀（Prefix/Seed）

假如 Garageband 这个 App ID 为“com.apple.garageband”，则支持从语音备忘录导入到 Garageband 应用的插件的 App ID 可能形如“com.apple.garageband.extImportRecording”。

App(ex)

App Group ID

Provisioning Profile

Code Signing Identity
（Certificate Key Pair）

App ID
（bundle identifier）

Devices
（test）

GarageBand

置于同一分组：
group.com.apple

（1）共用同一证书：ios_development.cer
（2）共用证书Key Pair中的Private Key进行CodeSign

com.apple.garageband

授权开发测试设备的UDIDs

GarageBand扩展插件

com.apple.garageband.extImportRecording

关于Provisioning Profile，可以使用自己手动生成的，也可以使用 Xcode 自动生成的 Team Provisioning Profile。
App Group 会被配置到【Xcode Target|Build Settings|Code Signing|Code Signing Entitlements】文件（*.entitlements）的键com.apple.security.application-groups下，不影响 Provisioning Profile 生成流程。

七****.证书与签名（****Certificate& Signature）
1.Code Signing Identity

Xcode 中配置的 Code Signing Identity（entitlements、certificate）必须与 Provisioning Profile 匹配，并且配置的 Certificate 必须在本机 Keychain Access 中存在对应 Public／Private Key Pair，否则编译会报错。
Xcode 所在的 Mac 设备（系统）使用 CA 证书（WWDRCA.cer）来判断 Code Signing Identity 中 Certificate 的合法性：
若用 WWDRCA 公钥能成功解密出证书并得到公钥（Public Key）和内容摘要（Signature），证明此证书确乃 AppleWWDRCA 颁布，即证书来源可信；
再对证书本身使用哈希算法计算摘要，若与上一步得到的摘要一致，则证明此证书未被篡改过，即证书完整。

2.Code Signing
每个证书（其实是公钥）对应 Key Pair 中的私钥会被用来对内容（executable code，resources such as images and nib files aren’t signed）进行数字签名（CodeSign）——使用哈希算法生成内容摘要（digest）。
Xcode 使用指定证书配套的私钥进行签名时需要授权，选择【始终允许】后，以后使用该私钥进行签名便不会再弹出授权确认窗口。

小结：
基于 Provisioning Profile 校验了 CodeSign 的一致性；
基于 Certificate 校验 App 的可靠性和完整性；
启动时，真机的 device ID（UUID）必须在 Provisioning Profile 的 ***ProvisionedDevices ***授权之列。
无论是 Xcode 对 APP 进行签名打包还是真机运行 APP 进行校验，都使用了基于证书体系的非对称加密机制。

八****.在多台机器上共享开发账户/证书
1.Xcode 导出开发者账号(.developerprofile) 或 PKCS12 文件(*.p12)
进入 Xcode Preferences|Accounts：
选中 Apple IDs 列表中对应 Account 的 Email，点击+-之后的☸|Export Accounts，可导出包含 account/code signing identity/provisioning profiles 信息的 .developerprofile**（Exporting a Developer Profile）文件供其他机器上的 Xcode 开发使用（Import 该 Account）。

选中右下列表中某行 Account Name 条目|ViewDetails，可以查看 Signing Identities 和 Provisioning Profiles。
选中欲导出的 Signing Identity 条目，点击栏底+之后的☸|Export，必须输入密码，并需授权 export key "privateKey" from keychain，将导出 ****Certificates.p12****。****

点击左下角的刷新按钮可从 Member Center 同步该账号下所有的 Provisioning Profile 到本地。选中右击列表中某个 Provisioning Profile 可以【Show in Finder】到[~/Library/MobileDevice/Provisioning\ Profiles]目录，其中 Provisioning Profile 的真实名称为 $(UUID).mobileprovision，名如"2488109f-ff65-442e-9774-fd50bd6bc827.mobileprovision"，其中<key>Name</key>中为 Xcode 中看到的描述性别名。
2.Keychain Access 导出 PKCS12 文件(*.p12)
在 Keychain Access|Certificates 中选中欲导出的 certificate 或其下 private key，右键 Export 或者通过菜单 File|Export Items 导出 ****Certificates.****p12****——PKCS12 file holds the ****private key**** and ****certificate****。
其他 Mac 机器上双击 Certificates.p12（如有密码需输入密码）即可安装该共享证书。有了共享证书之后，在开发者网站上将欲调试的 iOS 设备注册到该开发者账号名下，并下载对应证书授权了 iOS 调试设备的 Provisioning Profile 文件，方可在 iOS 真机设备上开发调试。

九.证书配置常见错误
1.no such provisioning profile was found
Xcode Target|Genera|Identity Team下提示"Your build settings specify a provisioning profile with the UUID "xxx",howerver, no such provisioning profile was found."
Xcode Target|BuildSettings|Code Signing|当前配置的指定UDID的provisioning profile在本地不存在，此时需要更改Provisioning Profile。必要时手动去网站下载或重新生成Provisioning Profile或直接在Xcode中Fix issue予以解决（可能自动生成iOS Team ProvisioningProfile）！
2.No identities from profile
Build Settings|CodeSigning的Provisioning Profile中选择了本地安装的provisioning profile之后，Code Signing Identity中下拉提示No identities from profile “…”or No identities from keychain.
Xcode配置指定UDID的provisioning profile中的DeveloperCertificates在本地KeyChain中不存在（No identities are available）或不一致（KeyPair中的Private Key丢失），此时需去网站检查ProvisioningProfile中的App ID-Certificate-Device配置是否正确。如果是别人提供的共享账号（.developerprofile）或共享证书(.p12)，请确保导出了对应Key Pair中的Private Key。必要时也直接在Xcode中Fix issue予以解决（可能自动生成iOS Team ProvisioningProfile）。
3.Code Signing Entitlements file do not match profile
"Invalid application-identifier Entitlement" or "Code Signing Entitlements file do not match those specified in your provisioning profile.(0xE8008016)."
（1）检查对应版本（Debug）指定的*.entitlements文件中的“Keychain Access Groups”键值是否与ProvisioningProfile中的Entitlements项相吻合（后者一般为前者的Prefix/Seed）。
（2）也可以将Build Settings|Code Signing的Provisioning Profile中对应版本（Debug）的Entitlements置空。

4.The app ID cannot be registered to your development team

出现该问题通常是 app ID 冲突，即该 app ID 已经有人注册过，此时可以按照提示换一个 app ID或基于已有app ID添加后缀——Change your bundle identifier to a unique string to try again。

5.The 'In-App Purchase' feature is only available to users enrolled in Apple Developer Program
只有开发者账号才能真机调试 'In-App Purchase' 特性，所以需要在工程配置（Capabilities）中禁用普通Apple ID不支持的特性。

同样，在 Xcode 8 中，也只有开发者账号才能真机调试The 'Siri' feature，否则也会报错“The 'Siri' feature is only available to users enrolled in Apple Developer Program.”而无法完成签名认证。

十. Xcode7+ 免证书真机调试
在 Xcode 7 中，苹果改变了自己在许可权限上的策略：

此前 Xcode 只开放给注册开发者下载，现在 Xcode 7 改变了这种惯有的做法，无需注册开发者账号，仅使用普通的Apple ID就能下载和上手体验。
此前开发者需每年支付99美元的费用成为注册开发者才能在 iPhone/iPad 真机上运行调试APP，苹果新的开发者计划则放宽要求，无需购买，只要你感兴趣同样可以在设备上测试app。——Developers would be able to test apps on devices without a paid Apple developer account in Xcode 7.

所谓“免证书”真机调试，并不是真的不需要证书，Xcode真机调试原有的证书配置体系仍在——All iOS, tvOS, and watchOS appsmust becode signed and provisioned to launch on a device. 所以，上文啰嗦几千字还是有点用的。
自 Xcode7 开始，原来基于付费开发者账号及自助生成证书及配置文件的繁琐过程被苹果简化，Xcode将针对任何普通账号自动为联调真机生成所需相关的证书及配置文件。当你打算向 App Store 提交发布应用，才需要付费。
第一步：进入 Xcode Preferences|Accounts，添加自己的 Apple ID 账号。
第二步：Build Settings|Code Signing 下的 Provisioning Profile 选择 Automatic，Code Signing Identity 选择 Automatic 下的iOS Developer。

第三步：General 配置 Bundle identifier，Team 下拉选择苹果Member Center自动为你的账号生成的Personal Team ID。
自己的账号在调试公司或其他第三方APP代码时，若填写 Bundle identifier 为他人账号注册的 APP ID（例如苹果相机应用 com.apple.camera），会报错：

[plain] view plain copy
print?

No provisioning profiles with a valid signing identity (i.e. certificate and private key pair) matching the bundle identifier “com.apple.camera” were found.

即使编译通过了，可能运行时APP自身与服务器校验也可能会报签名错误，肿么办？？？
Her skill：此时，可以在他人原有App ID基础上添加后缀（例如com.apple.camera.extension），配置成应用的衍生插件（相当于置于同一 App Group 下）就可以快乐的玩耍了。
解决了所有的开发配置问题，Xcode 8 Automatically manage signing 配置成功应该是这样子的：