后续：clash verge rev 的开发者给 macOS 添加了可执行程序签名验证，然而这个签名验证并没有用（笑）

因为它甚至没有解析 codesign 输出... 直接验证了 codesign 输出有没有包含特定的字符串，所以黑客只要自己签一个恶意 bin 把它检测的字符串全都堆到 identifier 里就可以绕过检测拿到 root 了 ⌨

（PoC 原图放这里了: clash-verge-service#9）

安全检查能写成这样也太草台了，而且这个注释看起来像是 AI 生成的一样... 希望大家都不要用这样的软件