升级 El Capitan，工行 U 盾挂了（天地融）

[dotpig]

因为 GM 出来了，就顺手升级了。结果发现工行的 U 盾用不了了。仔细看了一下，天地融安装程序在 /usr/lib 目录下安装了一票 dylib ，升级 El Capitan 之后，因为是 rootless ，系统把 /usr/lib 底下不属于系统的文件全删了。第三方的只能放到 /usr/local 底下（其实，就算不是 rootless 的系统，第三方的 lib 类文件也应该放到 /usr/local/lib 之下，这是礼节。）

然后再看了一下天地融的运行文件，地址都是硬链接。其实作为工行 /天地融来说，更新很简单，就是换一个目录。

跟工行的客服沟通了一下，发现鸡同鸭讲。天地融，根本就没有沟通的渠道，我估计等他们自己发现并更新估计又得一年两年了。难道为了一个网银我又要装回虚拟机了吗？

[ozOGen]

进 recovery
terminal 输 csrutil disable
reboot 回来装驱动
装完再回 recovery terminal 输 csrutil enable

[dotpig]

@ozOGen 这个重新 enable 了之后不会被删？本来那些就是升级时系统删的啊。等一下我试试看。

[ozOGen]

@dotpig 应该不会，至少我这都比较正常。。。。

[ozOGen]

@dotpig 升级时候我也被删了 N 多东西。。。还好升级前做了这个功课。。。之后基本上都补回来了

[ozOGen]

@dotpig 如果想关闭 rootless 的话 enable 那一步就不用了，不过不建议关闭。。。

[ooxxcc]

等等，工行 U 盾 mac 下能用……我常年用的 PD ……

[mozkoe]

@ozOGen 对于其他程序，把 /usr/local 的所有者改成`whoami`:admin ，这样就没问题了吧。。。

[ozOGen]

@mozkoe 如果没记错的话。。。 rootless 开启的情况下是不能改的= =

[mozkoe]

@ozOGen 可以的。/usr/local 目录不被 rootless 保护，只是默认归 root 所有。

[mozkoe]

@ozOGen 你可以用 ls -lO /usr 看一下。

[dotpig]

试了一下，重新 enable 之后文件没删，但是还是用不了。不知道是不是由于用 LaunchDaemon 加载的位于 /usr/lib 的可执行文件并没有加载。

[ozOGen]

@mozkoe 受到保护的目录名单可参见 /System/Library/Sandbox/rootless.conf

然后这个文件里的内容是

/Applications/App Store.app
/Applications/Automator.app
/Applications/Calculator.app
/Applications/Calendar.app
/Applications/Chess.app
/Applications/Contacts.app
/Applications/Dashboard.app
/Applications/Dictionary.app
/Applications/DVD Player.app
/Applications/FaceTime.app
/Applications/Font Book.app
/Applications/Game Center.app
/Applications/Image Capture.app
/Applications/Launchpad.app
/Applications/Mail.app
/Applications/Maps.app
/Applications/Messages.app
/Applications/Mission Control.app
/Applications/Notes.app
/Applications/Photo Booth.app
/Applications/Photos.app
/Applications/Preview.app
/Applications/QuickTime Player.app
/Applications/Reminders.app
/Applications/Safari.app
/Applications/Stickies.app
/Applications/System Preferences.app
/Applications/TextEdit.app
/Applications/Time Machine.app
/Applications/Utilities/Activity Monitor.app
/Applications/Utilities/AirPort Utility.app
/Applications/Utilities/Audio MIDI Setup.app
/Applications/Utilities/Bluetooth File Exchange.app
/Applications/Utilities/Boot Camp Assistant.app
/Applications/Utilities/ColorSync Utility.app
/Applications/Utilities/Console.app
/Applications/Utilities/Digital Color Meter.app
/Applications/Utilities/Disk Utility.app
/Applications/Utilities/Feedback Assistant.app
/Applications/Utilities/Grab.app
/Applications/Utilities/Grapher.app
/Applications/Utilities/Keychain Access.app
/Applications/Utilities/Migration Assistant.app
/Applications/Utilities/Script Editor.app
/Applications/Utilities/System Information.app
/Applications/Utilities/Terminal.app
/Applications/Utilities/VoiceOver Utility.app
/Library/Preferences/SystemConfiguration/com.apple.Boot.plist
/System
* /System/Library/Caches
booter /System/Library/CoreServices
* /System/Library/CoreServices/Photo Library Migration Utility.app
/System/Library/CoreServices/RawCamera.bundle
* /System/Library/Extensions
/System/Library/Extensions/*
UpdateSettings /System/Library/LaunchDaemons/com.apple.UpdateSettings.plist
* /System/Library/Speech
* /System/Library/User Template
/bin
dyld /private/var/db/dyld
/sbin
/usr
* /usr/libexec/cups
* /usr/local
* /usr/share/man
# symlinks
/etc
/tmp
/var

所以。。。/usr/local 并没有幸免。。。。

[dotpig]

@mozkoe /usr/local 是不被 rootless 保护的啊，所以我说第三方的应该放在 /usr/local/lib 目录下啊。那些动不动就把文件放到系统目录的根本就没学会规矩。

[ozOGen]

@dotpig 可以试一下 disable 的时候能不能用。。。因为 SIP 里还有一个功能是禁止未签名的 kext 加载。。。虽然我不知道天地融有没有用到 kext 。。。

[dotpig]

@ozOGen 未签名禁止加载 Yosemite 就是这样了。而且，一个网银的驱动不签名不是笑话了。

[dotpig]

@ozOGen /usr/local/lib 是不受 rootless 保护的，我已经试过了，创建、删除文件都没啥障碍。

[ozOGen]

@dotpig well 。。这种事情还真说不定。。。 yosemite 的时候一直是 kext-dev-mode=1 的。。。。

[mozkoe]

➜ local git:(master ) ls -lO /usr
total 0
drwxr-xr-x 3 root wheel restricted 102 8 27 10:17 adic
drwxr-xr-x 1054 root wheel restricted 35836 9 10 11:07 bin
drwxr-xr-x 258 root wheel restricted 8772 9 10 11:31 include
drwxr-xr-x 285 root wheel restricted 9690 9 10 11:32 lib
drwxr-xr-x 183 root wheel restricted 6222 9 10 11:07 libexec
drwxr-xr-x 23 root wheel - 782 9 10 11:13 local
drwxr-xr-x 243 root wheel restricted 8262 9 10 11:07 sbin
drwxr-xr-x 46 root wheel restricted 1564 9 10 11:32 share
drwxr-xr-x 4 root wheel restricted 136 9 3 19:54 standalone


@ozOGen 这里显示 /usr/local 是没被保护的啊；而且的确可以 sudo 修改所有者权限。你这边的文档又是怎么回事呢？ o_O

[ozOGen]

@mozkoe 这个就。。。不了解了= =。。。我 ls -lO /usr 的返回和你是一样的。。。那个文档在 /System/Library/Sandbox/rootless.conf ，按理来说应该是会对应的啊。。。。

[ozOGen]

@dotpig 我也试过改所有者也 ok 了= =好神奇。。。估计是还有些地方我没有理解到。。。

[imn1]

你去工行的论坛（工行官方的，工行网站找入口，可匿名）发，那边比较容易转给技术部，造福一下人民(Bi )

[dotpig]

@imn1 听了你的话，写了一长段，提交时它给我看这个：（这些煞笔系统不知是怎么设计出来的，你禁止访客发帖，直接在发帖那个阶段提示并禁止不可以？）

[imn1]

@dotpig
呵呵，工行别看那么高
改政策了？以前游客提问也可以的

[ipconfiger]

工行 U 盾真是垃圾中的垃圾

[dotpig]

@ipconfiger 这个咱也不能瞎说，用还是挺好用的。而且也是最早支持 mac 的银行之一。

[wikinee]

工行是宇宙第一大银行。还有，升级的毕竟少数。

[zander]

客服要是懂这些就不会做客服了........

[dotpig]

@zander 不是要他懂，是要他反馈。但是他一定要跟我搞清楚，结果实在搞不清楚。情况就是这么个情况！

[IgniteWhite]

@zander 吐槽甚妙

[haogefeifei]

去换密码器吧， U 盾淘汰了

[shom]

http://finance.qingdaonews.com/images/attachement/jpg/site1/20111219/0015c56cc66c10590abe02.jpg
我用的明华 U 盾， GM 可用， ios 和 android 也可以用

[rssf]

手机工行网银

[dotpig]

@shom 嗯，我的一代 U 盾也是明华的。换二代的时候营业厅没明华的，只有天地融的。 iOS 怎么用，是作为令牌用吗？

[realpg]

@dotpig
本帖链接已转发工行网银的一个 leader
不过我接触的都不是搞 U 盾驱动这块的，而且我也没听说他们有 MAC 开发的人员

[dotpig]

@realpg 驱动都是产品供应商（天地融、明华等）开发的，有的供应商更新很积极，有的很懒，让工行知道了他们就可以督促天地融去更新驱动。谢谢！

[realpg]

@dotpig
如果哥们能直接管的应该很快能给解决
要是不归他们管的，除非部门关系近，否则不好解决的
工行内部……需要用八个字形容：呵呵呵呵呵呵呵呵

[shom]

@dotpig 我这个明华二代 U 盾有两个接口（上个月才换的）， USB 接口与电脑相连，音频接口与手机连接，手机上要下载个工行 U 盾，然后转帐办理业务之类的也就和电脑上一样要在 U 盾上确认

[shom]

@dotpig 那个图片发错了，是这个 http://s7.sinaimg.cn/bmiddle/67c024aegddff458a5f56&690
这里有个明华的 blog 看起来像是官方人员写的 http://blog.sina.com.cn/s/blog_67c024ae0101fjrx.html

[dotpig]

@shom 谢谢，我有空再去营业厅问问有没有明华的。

[Zhang]

@haogefeifei U 盾还是很先进的，跟 ssh 的 public key 登陆是一个原理，而且还要双向验证。

[Zhang]

@ozOGen 解决了，感谢！

[syncake]

@shom 然后手机一旦换到 7 以后就 GG 了，除了弄个 windows，苹果系全跪。。