Glosario
Atributo de cuarentena (com.apple.quarantine)
El atributo extendido com.apple.quarantine de los archivos descargados: flags, hora en hexadecimal, agente y un UUID que enlaza con la base.
com.apple.quarantine es un atributo extendido guardado en el propio archivo descargado. Su valor tiene cuatro campos separados por punto y coma, flags;time;agent;uuid, por ejemplo 0083;66f7c2a1;Safari;6E4C2B1A-.... Los flags son un campo de bits hexadecimal, la hora son segundos Unix en hexadecimal (UTC), el agente es el nombre de la aplicación y el UUID, que puede estar vacío, coincide con LSQuarantineEventIdentifier en QuarantineEventsV2.
Archive Utility, la herramienta de descompresión de macOS, copia el valor del archivo comprimido, UUID incluido, en los ficheros que extrae, de modo que un mismo evento puede abarcar varios archivos. Las copias dentro de APFS o HFS+ conservan el atributo. xattr -d com.apple.quarantine o xattr -c lo eliminan sin tocar la base de datos. Para obtener los bytes exactos, recójalo con xattr -r -l -x. Consulte los flags de com.apple.quarantine explicados.