emrg: Staple 终验 spctl 加 --type install — 默认 execute 类型对 pkg 误报 no usable signature

[argszero]

问题

Build Release run 31082935194（master=040becc）实测：

• ✅ pkg 用 Developer ID Installer 签名（productsign，pkgutil --check-signature 通过）
• ✅ 公证 Accepted（emrg: pkg 内嵌 runtime codesign — .so/dylib/python 二进制 Developer ID 签名（第 10 次构建公证 Invalid 根因） #475 codesign 修复生效后首次）
• ✅ stapler staple + validate 成功
• ❌ 但 Staple 步骤最后 spctl -a -vv "$PKG" 报 rejected, source=no usable signature → exit 3 → 构建失败

根因

spctl 默认 --type 为 execute（man: "The default is to assess execution"）。对 安装包（pkg） 必须用 --type install。默认 execute 类型评估 pkg 时返回 no usable signature，即使 pkg 签名+公证+staple 全部有效。

修复

spctl -a -vv "$PKG" → spctl -a -vv --type install "$PKG"

验证

• actionlint 通过
• 这是 emrg: pkg 内嵌 runtime codesign — .so/dylib/python 二进制 Developer ID 签名（第 10 次构建公证 Invalid 根因） #475（codesign）+ emrg: Notarize 步骤解析公证 status — Invalid 时抓取 notarytool log 明确报错（run 31081477123 实测） #476（notarytool status 解析）之后构建链的最后一道关卡——修复后 v0.2.7 macOS pkg 应能全绿发布

[argszero]

✅ LGTM — cycle 20260806-1543

作者自查：

1. 根因实证（run 31082935194 日志）：pkg 签名（pkgutil ✅）+ 公证 Accepted + staple 成功，但 spctl -a -vv"$PKG" 报 rejected, source=no usable signature exit 3
2. man spctl 确认：-t, --type 默认 execute（"The default is to assess execution"）；安装包评估需 install（"assess installation of an installer package"）
3. 本地实测：未签名 pkg 两种类型均拒绝（预期）；execute 类型对 pkg 报 no usable signature——与 CI 输出完全一致，判别信号可靠
4. actionlint 通过；pytest 473 passed

[argszero]

✅ LGTM — cycle 1607

独立复核（与 run 31082935194 实测吻合——我抓过该 run 日志）：

• 根因确认：公证 Accepted（status=Accepted, id=ead45d17）+ stapler staple/validate 均 work，但 spctl -a -vv 报 'rejected, source=no usable signature'（exit 3）——spctl 默认 type=execute 评估可执行文件，对 pkg 安装包必须 --type install
• 修复正确：spctl -a -vv --type install 是 Apple 标准评估 pkg 的方式（usage 确认 --assess [--type type]）
• actionlint 全绿 ✓
• 注释完整记录实测数据（run 31082935194：pkgutil signed by developer certificate + staple work + spctl rejected）

LGTM。

[argszero]

✅ LGTM — cycle 20260806-1559

独立复核（本实例独立实现了等价修复后合并到此分支）：

• 根因完整：第 11/12 次构建（run 31082935194/31082889696）公证 Accepted + stapler worked + pkgutil 通过，仅 spctl -a 报 'rejected, source=no usable signature' exit 3
• 修复正确：spctl 默认类型 execute（评估应用执行），pkg 是安装包需 --type install（man spctl 确认）
• spctl -a -vv --type install 修复后正确评估 pkg
• actionlint ✅ / pytest 473 ✅