Habilidades xcode-project-setup

📦

xcode-project-setup

Name: xcode-project-setup
Author: firebase

Revisión del contenido r1 Riesgo medio 🌐 Acceso a red⚙️ Comandos externos📁 Acceso al sistema de archivos

Configurar Swift Packages de Xcode de forma segura

Añadir Swift Packages a proyectos de Xcode puede ser propenso a errores y fácil de romper. Esta skill usa una herramienta Swift incluida para añadir paquetes, vincular productos y gestionar la configuración del plist de Firebase.

Compatible con: Claude Codex Code(CC)

⚠️ 50 Deficiente

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "xcode-project-setup" from https://skillstore.io/skills/firebase-xcode-project-setup.md and its manifest at https://skillstore.io/api/skills/firebase-xcode-project-setup/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/firebase-xcode-project-setup.md Manifest firmado GET /api/skills/firebase-xcode-project-setup/manifest Lockfile firmado GET /api/skills/firebase-xcode-project-setup/lockfile

Pruébalo

Usando "xcode-project-setup". Añade Alamofire a un proyecto de app existente.

Resultado esperado:

Se revisa que el proyecto tenga un archivo de proyecto Xcode válido.
El helper Swift añade la dependencia del paquete Alamofire.
El producto Alamofire se vincula al target de la app.

Usando "xcode-project-setup". Añade FirebaseAuth con el plist de servicio.

Resultado esperado:

El paquete Firebase se añade a la lista de dependencias del proyecto.
FirebaseCore y FirebaseAuth se vinculan al target.
El plist de servicio se incluye en la fase de compilación de recursos.
La flag de linker de Firebase se añade cuando falta.

Usando "xcode-project-setup". Configura FirebaseCrashlytics para un target.

Resultado esperado:

El formato de información de depuración del proyecto se configura para la generación de dSYM.
Se añade una fase de build de Crashlytics solo cuando no está ya presente.
Los productos de paquetes y fases de build existentes se omiten para evitar duplicados.

Auditoría de seguridad

Riesgo medio

v4 • 5/7/2026 Abrir el informe versionado

The Swift helper performs legitimate Xcode project automation, but it introduces low supply-chain exposure through remote SwiftPM dependencies and package URLs. The main confirmed execution risk is the intentional Crashlytics shell build phase, while most SKILL.md backtick findings are Markdown false positives. No prompt injection attempt or hidden data exfiltration intent was found.

Archivos escaneados

381

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (1)

Medio

scripts/xcode_spm_setup/Sources/main.swift:55-60 scripts/xcode_spm_setup/Sources/main.swift:210-216

Persistent Crashlytics Build Script Phase

The helper adds a Crashlytics build phase that runs a script from the Firebase package checkout during future Xcode builds. This is expected for Crashlytics, but users should explicitly approve persistent build-time scripts.

The code constructs a PBXShellScriptBuildPhase with /bin/sh and appends it when FirebaseCrashlytics is requested. The exact script content lives in the Firebase checkout, so the risk is persistent delegated execution rather than direct malicious code here.

Elementos de revisión de capacidades (9)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Medio

scripts/xcode_spm_setup/Sources/main.swift:59

Unix shell invocation

shellPath: "/bin/sh",

The helper creates an Xcode shell script build phase with /bin/sh for Firebase Crashlytics. This is intentional, but it persists build-time command execution in the user project.

Bajo

scripts/xcode_spm_setup/Package.resolved:6

Hardcoded URL

"location" : "https://github.com/tadija/AEXML.git",

This is a pinned SwiftPM dependency URL for AEXML in Package.resolved. It can cause network dependency retrieval from GitHub, so it is a low supply-chain risk rather than exfiltration.

Bajo

scripts/xcode_spm_setup/Package.resolved:15

Hardcoded URL

"location" : "https://github.com/kylef/PathKit.git",

This is a pinned SwiftPM dependency URL for PathKit in Package.resolved. It can cause network dependency retrieval from GitHub, so it is a low supply-chain risk rather than exfiltration.

Bajo

scripts/xcode_spm_setup/Package.resolved:24

Hardcoded URL

"location" : "https://github.com/kylef/Spectre.git",

This is a pinned SwiftPM dependency URL for Spectre in Package.resolved. It can cause network dependency retrieval from GitHub, so it is a low supply-chain risk rather than exfiltration.

Bajo

scripts/xcode_spm_setup/Package.resolved:33

Hardcoded URL

"location" : "https://github.com/tuist/XcodeProj.git",

This is a pinned SwiftPM dependency URL for XcodeProj in Package.resolved. It can cause network dependency retrieval from GitHub, so it is a low supply-chain risk rather than exfiltration.

Bajo

scripts/xcode_spm_setup/Package.swift:8

Hardcoded URL

.package(url: "https://github.com/tuist/XcodeProj.git", .upToNextMajor(from: "8.27.7")),

Package.swift declares XcodeProj as a remote SwiftPM dependency from GitHub. This is expected for the helper but remains a low supply-chain and network dependency risk.

Bajo

SKILL.md:58

Hardcoded URL

1. Adding the package repository dependency (e.g., `https://github.com/Alamofire/Alamofire`).

The line describes adding a package repository URL as part of the skill workflow. This is expected behavior, but it does direct the agent toward remote dependency retrieval.

Bajo

SKILL.md:76

Hardcoded URL

swift run --package-path /Users/foo/.agents/skills/xcode-project-setup/scripts/xcode_spm_setup xcode

The example command includes an Alamofire GitHub repository URL that would be added to the user project if used. This is user-directed package installation and a low supply-chain risk.

Bajo

SKILL.md:84

Hardcoded URL

swift run --package-path /Users/foo/.agents/skills/xcode-project-setup/scripts/xcode_spm_setup xcode

The example command includes the Firebase GitHub repository URL that would be added to the user project if used. This is user-directed package installation and a low supply-chain risk.

Factores de riesgo

🌐 Acceso a red (10)

scripts/xcode_spm_setup/Package.resolved:6 scripts/xcode_spm_setup/Package.resolved:15 scripts/xcode_spm_setup/Package.resolved:24 scripts/xcode_spm_setup/Package.resolved:33 scripts/xcode_spm_setup/Package.swift:8 SKILL.md:53 SKILL.md:58 SKILL.md:76 SKILL.md:81 SKILL.md:84

⚙️ Comandos externos (29)

📁 Acceso al sistema de archivos (2)

SKILL.md:76 SKILL.md:84

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/firebase-xcode-project-setup/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/firebase-xcode-project-setup/security.svg)](https://skillstore.io/skills/firebase-xcode-project-setup?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/firebase-xcode-project-setup?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/firebase-xcode-project-setup/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/firebase-xcode-project-setup.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

firebase. (2026). xcode-project-setup security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/firebase-xcode-project-setup/audits/4

Cita BibTeX

@techreport{firebase-firebase-xcode-project-setup-2026,
  author = {firebase},
  title = {xcode-project-setup security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/firebase-xcode-project-setup/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "xcode-project-setup security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "firebase"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/firebase-xcode-project-setup/audits/4"
identifiers:
  - type: other
    value: "skillstore:firebase-xcode-project-setup:audit:4"
    description: "Skillstore immutable audit report identifier"

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Alto

Arquitectura

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Añadir un paquete iOS común

Instala una dependencia de Swift Package y vincula su producto a un target de app existente.

Configurar Firebase para una app

Añade productos de Firebase, incluye el plist de servicio y aplica los ajustes de linker requeridos.

Estandarizar cambios de dependencias del proyecto

Usa el mismo helper Swift para evitar ediciones manuales frágiles en archivos de proyecto Xcode.

Prueba estos prompts

Añadir un paquete

Añade Alamofire a mi proyecto Xcode existente y vincúlalo al target de la app. Revisa primero el proyecto y explica cualquier confirmación requerida.

Añadir productos Firebase Core

Configura FirebaseCore y FirebaseAuth en mi proyecto Xcode. Usa el GoogleService-Info plist existente y verifica los ajustes de linker requeridos.

Reparar la vinculación de paquetes

Inspecciona la configuración de mi proyecto Xcode para el Swift Package solicitado. Vincula cualquier producto faltante sin duplicar dependencias existentes.

Configurar Crashlytics

Añade FirebaseCrashlytics al target de mi app, configura los ajustes dSYM y avísame antes de añadir cualquier fase de build script.

Mejores prácticas

Revisa los diffs del proyecto después de que el helper modifique un archivo de proyecto Xcode.
Confirma las URLs y versiones de los repositorios de paquetes antes de añadir dependencias.
Haz una copia de seguridad o un commit del proyecto antes de ejecutar comandos de configuración de paquetes.

Evitar

No uses edición de texto sin procesar para parchear archivos de proyecto Xcode.
No ejecutes la configuración contra un directorio sin un proyecto Xcode existente.
No añadas repositorios o productos de paquetes no revisados a apps de producción.