Habilidades macos-spm-app-packaging

📦

macos-spm-app-packaging

Name: macos-spm-app-packaging
Author: Dimillian

Revisión del contenido r1 Crítico ⚙️ Comandos externos📁 Acceso al sistema de archivos🌐 Acceso a red🔑 Variables de entorno

Empaquetar apps macOS de SwiftPM

Las apps macOS de SwiftPM necesitan pasos manuales de bundle, firma y publicación fuera de Xcode. Esta skill proporciona plantillas y orientación para scaffolding, empaquetado, notarización y generación de appcast.

Compatible con: Claude Codex Code(CC)

⚠️ 38 Deficiente

Maintain this Skill? Claim it ⚠️ 38 Deficiente

No instales este Skill automáticamente.

La política canónica exige la revisión de un operador antes de cualquier acción de instalación.

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "macos-spm-app-packaging" from https://skillstore.io/skills/dimillian-macos-spm-app-packaging.md and its manifest at https://skillstore.io/api/skills/dimillian-macos-spm-app-packaging/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/dimillian-macos-spm-app-packaging.md Manifest firmado GET /api/skills/dimillian-macos-spm-app-packaging/manifest Lockfile firmado GET /api/skills/dimillian-macos-spm-app-packaging/lockfile

Pruébalo

Usando "macos-spm-app-packaging". Empaquetar una app de barra de menús de SwiftPM para pruebas locales.

Resultado esperado:

Un plan breve de empaquetado para la estructura de la app.
Las variables de entorno necesarias para el comportamiento de barra de menús y la identidad del bundle.
Una lista de verificación para lanzamiento y comprobaciones de procesos.

Usando "macos-spm-app-packaging". Preparar la firma de release para una app macOS de SwiftPM.

Resultado esperado:

Una lista de credenciales de desarrollador de Apple requeridas.
La secuencia esperada de notarización y stapling.
Notas de seguridad para manejar claves privadas y archivos temporales.

Usando "macos-spm-app-packaging". Añadir compatibilidad con appcast de Sparkle a mi flujo de release.

Resultado esperado:

Una descripción de las herramientas de Sparkle requeridas y los ajustes de clave privada.
La secuencia de generación de appcast después de que exista un zip notarizado.
Comprobaciones de números de versión, URLs de descarga y notas de release.

Auditoría de seguridad

Crítico

v8 • 5/7/2026 Abrir el informe versionado

Most static alerts are false positives from documented local macOS packaging scripts and Markdown command references. Confirmed risks involve sourcing version.env as shell code, writing signing credentials to predictable /tmp paths, and importing a signing identity into the login keychain. No prompt injection evidence was found in the reviewed files.

Archivos escaneados

747

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (8)

Crítico

assets/templates/setup_dev_signing.sh:44

macOS Keychain access

security import /tmp/dev.p12 -k ~/Library/Keychains/login.keychain-db \

The script directly modifies the user login keychain by importing a code-signing identity. Keychain mutation by an agent-run script requires explicit user control.

Alto

assets/templates/package_app.sh:15

Environment file access

if [[ -f "$ROOT/version.env" ]]; then

This line starts a flow that sources repo-local version.env on line 16. A modified project configuration file can execute shell code during packaging.

Alto

assets/templates/package_app.sh:16

Environment file access

source "$ROOT/version.env"

The script directly sources $ROOT/version.env. Configuration data is executed as shell code, so a malicious project file can run commands.

Alto

assets/templates/setup_dev_signing.sh:37

Certificate/key files

-nodes -keyout /tmp/dev.key -out /tmp/dev.crt \

The command creates a private signing key with -nodes at /tmp/dev.key. This is sensitive key material written without encryption.

Alto

assets/templates/setup_dev_signing.sh:40

Certificate/key files

openssl pkcs12 -export -out /tmp/dev.p12 \

The command exports a PKCS#12 file containing the development signing identity. It writes the bundle to a predictable temporary file.

Alto

assets/templates/setup_dev_signing.sh:41

Certificate/key files

-inkey /tmp/dev.key -in /tmp/dev.crt \

The command consumes /tmp/dev.key and /tmp/dev.crt to build signing material. Those files contain certificate and private key data.

Alto

assets/templates/setup_dev_signing.sh:44

Certificate/key files

security import /tmp/dev.p12 -k ~/Library/Keychains/login.keychain-db \

The command imports a PKCS#12 signing identity into the user keychain. This is sensitive certificate material with code-signing impact.

Alto

assets/templates/sign-and-notarize.sh:8

Environment file access

source "$ROOT/version.env"

The script sources $ROOT/version.env before release signing. A modified version.env can execute arbitrary shell commands in the release workflow.

Elementos de revisión de capacidades (8)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Alto

assets/templates/setup_dev_signing.sh:37

Temp directory access

-nodes -keyout /tmp/dev.key -out /tmp/dev.crt \

The script writes an unencrypted private key to fixed /tmp/dev.key. Predictable temporary paths can expose signing material through collisions or local attacks.

Alto

assets/templates/setup_dev_signing.sh:40

Temp directory access

openssl pkcs12 -export -out /tmp/dev.p12 \

The script writes a PKCS#12 signing bundle to fixed /tmp/dev.p12. That file contains signing material and uses a predictable temporary path.

Alto

assets/templates/setup_dev_signing.sh:41

Temp directory access

-inkey /tmp/dev.key -in /tmp/dev.crt \

The command reads private key and certificate files from fixed /tmp paths. These predictable paths are unsafe for signing material.

Alto

assets/templates/setup_dev_signing.sh:44

Temp directory access

security import /tmp/dev.p12 -k ~/Library/Keychains/login.keychain-db \

The script imports /tmp/dev.p12 into the login keychain. The imported signing bundle is read from a predictable temporary path.

Alto

assets/templates/sign-and-notarize.sh:16

Temp directory access

echo "$APP_STORE_CONNECT_API_KEY_P8" | sed 's/\\n/\n/g' > /tmp/app-store-connect-key.p8

The script writes APP_STORE_CONNECT_API_KEY_P8 to /tmp/app-store-connect-key.p8. This stores private API key material in a predictable temporary path.

Alto

assets/templates/sign-and-notarize.sh:37

Temp directory access

--key /tmp/app-store-connect-key.p8 \

The notarytool command reads the App Store Connect private key from a fixed /tmp file. Sensitive credential material should not use predictable temp paths.

Alto

assets/templates/sign-and-notarize.sh:16

Generic API/secret keys

echo "$APP_STORE_CONNECT_API_KEY_P8" | sed 's/\\n/\n/g' > /tmp/app-store-connect-key.p8

The script takes APP_STORE_CONNECT_API_KEY_P8 from the environment and writes it to a predictable /tmp file. This can expose notarization credentials.

Medio

assets/templates/sign-and-notarize.sh:34

Temp directory access

"$DITTO_BIN" --norsrc -c -k --keepParent "$APP_BUNDLE" "/tmp/${APP_NAME}Notarize.zip"

The notarization archive is written to a predictable /tmp path derived from APP_NAME. This can collide with existing files or be manipulated locally.

Factores de riesgo

⚙️ Comandos externos (41)

📁 Acceso al sistema de archivos (36)

🌐 Acceso a red (4)

assets/templates/make_appcast.sh:7 assets/templates/make_appcast.sh:58 assets/templates/package_app.sh:53 assets/templates/package_app.sh:172

🔑 Variables de entorno (8)

assets/templates/make_appcast.sh:8 assets/templates/make_appcast.sh:9 assets/templates/make_appcast.sh:10 assets/templates/make_appcast.sh:73 assets/templates/sign-and-notarize.sh:11 assets/templates/sign-and-notarize.sh:16 references/release.md:6 references/release.md:13

Patrones detectados

macOS Keychain access

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/dimillian-macos-spm-app-packaging/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/dimillian-macos-spm-app-packaging/security.svg)](https://skillstore.io/skills/dimillian-macos-spm-app-packaging?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/dimillian-macos-spm-app-packaging?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dimillian-macos-spm-app-packaging/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/dimillian-macos-spm-app-packaging.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

Dimillian. (2026). macos-spm-app-packaging security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/dimillian-macos-spm-app-packaging/audits/8

Cita BibTeX

@techreport{dimillian-dimillian-macos-spm-app-packaging-2026,
  author = {Dimillian},
  title = {macos-spm-app-packaging security audit report (audit version 8)},
  institution = {Skillstore},
  year = {2026},
  number = {8},
  url = {https://skillstore.io/skills/dimillian-macos-spm-app-packaging/audits/8},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "macos-spm-app-packaging security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
  - name: "Dimillian"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/dimillian-macos-spm-app-packaging/audits/8"
identifiers:
  - type: other
    value: "skillstore:dimillian-macos-spm-app-packaging:audit:8"
    description: "Skillstore immutable audit report identifier"

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Medio

Arquitectura

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Iniciar una nueva app SwiftPM

Crear un esqueleto de app limpio con ajustes del paquete, carpetas de código fuente, recursos y metadatos de versión.

Empaquetar una compilación local

Convertir la salida de compilación de SwiftPM en un bundle .app ejecutable para pruebas sin abrir Xcode.

Preparar un pipeline de release

Añadir pasos de firma, notarización, creación de zip y appcast de Sparkle a un proceso de release de macOS con SwiftPM.

Prueba estos prompts

Crear una app inicial

Usa esta skill para crear el scaffolding de una app macOS de SwiftPM llamada MyApp. Incluye la estructura de carpetas, el archivo de versión y los primeros pasos de empaquetado.

Empaquetar para pruebas locales

Usa esta skill para empaquetar mi app macOS de SwiftPM para pruebas locales. Explica qué scripts de plantilla copiar y qué variables configurar.

Añadir firma de release

Usa esta skill para preparar la firma y notarización de mi app macOS de SwiftPM. Enumera las credenciales, archivos y pasos de verificación requeridos.

Adaptar las plantillas

Usa esta skill para adaptar las plantillas de empaquetado para una app de barra de menús con recursos, frameworks, compilaciones universales y actualizaciones de Sparkle.

Mejores prácticas

Revisa cada script copiado antes de ejecutarlo con credenciales de firma.
Usa firma ad hoc para el desarrollo local y reserva las credenciales de Developer ID para compilaciones de release.
Mantén explícitos los números de versión, los identificadores de bundle y los números de compilación en la configuración del proyecto.

Evitar

No ejecutes scripts de release con credenciales reales antes de inspeccionar el manejo de archivos temporales.
No cargues archivos de configuración desde repositorios no confiables sin validación.
No publiques appcasts ni zips de release antes de que pasen las comprobaciones de notarización y stapling.