在Mac上下载了一个软件，图标是个灰色方块，后缀.pkg，双击之后弹出无法打开因为来自身份不明的开发者。这个提示让不少人卡住。
pkg是安装包文件，全称Package。macOS用它把程序、配置文件和安装脚本打包在一起，双击后由系统安装器引导，一步步写入应用程序文件夹。Windows上的exe和msi是类似角色。
pkg和dmg不是一回事
dmg是磁盘映像，双击后挂载成一个虚拟磁盘，里面通常放着.app程序，拖进应用程序文件夹就算装好。pkg则要运行安装程序，会往系统目录写文件，还可能安装后台服务。
有的软件两种都提供，优先选dmg，卸载时把app拖进废纸篓就完事，残留少。pkg装的软件，卸载往往要找专门的卸载器。
提示身份不明的开发者怎么办
先右键点击pkg，选打开，系统会再给一次确认。或者到系统设置 → 隐私与安全性，页面下方会有仍要打开的按钮。这是macOS的Gatekeeper拦截，不是文件损坏。
还有一种提示是安装包已损坏应将它移到废纸篓，常见于下载不完整，重新下载一遍，或者检查网络代理有没有改动文件。别急着去关系统级的校验开关，来源可靠的安装包用上面的方法就能过。
安装时注意看这几屏
pkg安装器会列出许可协议、安装位置、目标磁盘。默认装到系统盘，空间紧张可以先清一清。有的安装包会勾选安装附加组件，不想装的取消掉。
安装过程要输入管理员密码，这是正常的，但来源不明的pkg别随便给权限。装完到系统设置 → 通用 → 登录项与扩展里看看有没有偷偷加的开机启动项。
pkg里一般打包了Payload压缩包、BOM清单和安装脚本，用系统自带的工具能解开查看，普通用户没必要折腾。
除了macOS，pkg这个后缀在别的场景也出现，比如部分游戏的数据包、Python的打包产物，看到时先看文件大小和来源，再决定用什么打开。
判断：pkg就是Mac的安装包，双击能装就用，遇到拦截先右键打开，别一上来就关掉系统校验。