yzwduck

如果限定 Top1 的话，可以试试 Process Hacker 。

TL;DR: 对 URL 用单引号。
单引号不会对字符串里的任何特殊字符作转义，但字符串里不能出现单引号。
双引号会对字符串里的特殊字符作转义。

具体规定请参阅 https://pubs.opengroup.org/onlinepubs/9699919799/xrat/V4_xcu_chap02.html 里 quote 相关内容。

运行下面命令，可以显示出 System Extension 的 Bundle ID：
systemextensionsctl list
如果需要更多信息，可以查看 /Library/SystemExtensions/db.plist

请先确定是哪个程序需要授予 Full Disk Access：用 spindump 收集 Python 进程信息，然后看它的 Responsible 进程。我觉得在这种使用场景下，需要 Full Disk Access 的很可能是 Chrome 浏览器。

@LeeReamond 对 WebP 不熟，https://developers.google.com/speed/webp/docs/riff_container 讲了容器的格式，里面提到了 VP8X 里有 Alpha (L) flag，但我手边没有测试用的文件。

补充 3 楼：如果 PNG 文件第 0x19 字节不是 4 或 6，还要检查是否存在 tRNS 段，它也能带上 alpha 通道信息（较少见）。

@maokwen 这类重要的服务，我觉得要保证网络正常的难度太大了，反过来要求它离线可用吧。

@LeeReamond 如果要识别空 alpha 通道，只能用 1 楼的方法了。
PNG 只支持 RGB 色彩空间，并且 Truecolour with alpha 只支持 8 或 16 位深，不会出现 1 楼讲的其他情况的。

@sbilly 是基于你提到的仓库，但需要加一行代码。
while (strncmp((path = xar_get_path(f)), "Payload", 7) && 后面填上：
strncmp((path = xar_get_path(f)), "Content", 7) &&

问题确实是在 Let's Encrypt 的根证书上，但不是 CA 列表问题。
ISRG Root X1 ( https://crt.sh/?id=9314791) 的证书确实在 /etc/ssl/certs/ca-certificates.crt 里，但是 ISRG 原先证书链的根证书 DST Root CA X3 ( https://crt.sh/?id=8395) 过期了，很多旧版本的 SSL 库在 X1 列在 CA 里的情况下，仍然因为 X3 过期而拒绝连接。
解决方法貌似只能更新 SSL 库。

在 macOS 10.15 以及之前的系统上，LibreSSL 也因为相同原因，无法连接 Let's Encrypt 的网站。