[security] fix(cli): avoid privileged temp installer script #1222 漏洞概述 此 PR 通过移除用户拥有的临时 shell 脚本（该脚本随后通过预期的 macOS 管理员提示执行）来硬化 CodexBar 的 CLI 安装程序权限边界。 替换了可变的 安装程序有效负载，使用 AppleScript heredoc 传递辅助程序路径作为参数，并在内存中构建特权命令。 保留现有的 CLI 符号链接行为： 和 。 通过 shell 语法检查、AppleScript 编译和静态检查来添加验证覆盖，确保旧版临时脚本已消失。 影响范围 问题: CLI 安装程序执行相同的用户可变临时脚本作为管理员。 影响: 同一用户的本地恶意软件可以在用户批准预期的 CodexBar 管理员提示之前重写安装程序主体，将受信任的安装流转换为 root 命令执行。 严重性: 高，需要本地/同一用户和用户批准先决条件。 修复方案 移除 脚本生成和清理路径。 移除生成的 root-run 脚本上的 替换传递。 将辅助程序路径作为参数传递给 AppleScript。 在构建特权 shell 命令时使用 AppleScript 的 。 保留现有的符号链接创建目标和输出消息。 POC 代码