我有一个简单的问题，但我找不到详尽的答案。我们有一个 .app，我们以 .dmg 的形式分发（下载）。我们可以使用终端毫无问题地进行代码签名和公证。一切正常。但是，我们对需要进行代码签名和公证的正确事物存有疑问：应用程序、图像还是两者兼而有之？
至于现在，我们遵循了这个：
- .app 是经过代码签名的，并且 .app 是经过公证的
- 经过公证的 .app 被插入到 .dmg 中
- .dmg 被加载到我们的服务器进行部署
但是，我不确定这是正确的方法。应该是这样吗？
- .app 是代码签名的
- 代码签名的 .app 插入到 .dmg 中
- .dmg 也经过代码签名和公证，并加载到服务器
甚至：+ .app 是代码签名并且 .app 是经过公证的 + 公证的 .app 被插入到 .dmg + .dmg 也是代码签名和公证的，并加载到服务器
感谢您的意见。