スキル macos-spm-app-packaging

📦

macos-spm-app-packaging

Name: macos-spm-app-packaging
Author: Dimillian

コンテンツリビジョン r1 重大 ⚙️ 外部コマンド📁 ファイルシステムへのアクセス🌐 ネットワークアクセス🔑 環境変数

SwiftPM macOSアプリのパッケージ化

SwiftPM macOSアプリでは、Xcodeの外で手動のバンドル作成、署名、リリース手順が必要です。このスキルは、スキャフォールド作成、パッケージ化、公証、appcast生成のためのテンプレートとガイダンスを提供します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

この Skill を自動インストールしないでください。

基準ポリシーにより、インストール操作の前にオペレーターのレビューが必要です。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "macos-spm-app-packaging" from https://skillstore.io/skills/dimillian-macos-spm-app-packaging.md and its manifest at https://skillstore.io/api/skills/dimillian-macos-spm-app-packaging/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/dimillian-macos-spm-app-packaging.md 署名済み manifest GET /api/skills/dimillian-macos-spm-app-packaging/manifest 署名済み lockfile GET /api/skills/dimillian-macos-spm-app-packaging/lockfile

テストする

「macos-spm-app-packaging」を使用しています。ローカルテスト用にSwiftPMメニューバーアプリをパッケージ化する。

期待される結果:

アプリレイアウトの短いパッケージ化計画。
メニューバー動作とバンドルIDに必要な環境変数。
起動とプロセスチェックのための検証チェックリスト。

「macos-spm-app-packaging」を使用しています。 SwiftPM macOSアプリのリリース署名を準備する。

期待される結果:

必要なApple開発者認証情報の一覧。
想定される公証とステープル処理の順序。
秘密鍵と一時ファイルの取り扱いに関する安全上の注意。

「macos-spm-app-packaging」を使用しています。リリースフローにSparkle appcastサポートを追加する。

期待される結果:

必要なSparkleツールと秘密鍵設定の説明。
公証済みzipが存在した後のappcast生成手順。
バージョン番号、ダウンロードURL、リリースノートのチェック。

セキュリティ監査

重大

v8 • 2026/7/5 バージョン別レポートを開く

Most static alerts are false positives from documented local macOS packaging scripts and Markdown command references. Confirmed risks involve sourcing version.env as shell code, writing signing credentials to predictable /tmp paths, and importing a signing identity into the login keychain. No prompt injection evidence was found in the reviewed files.

スキャンされたファイル

747

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (8)

重大

assets/templates/setup_dev_signing.sh:44

macOS Keychain access

security import /tmp/dev.p12 -k ~/Library/Keychains/login.keychain-db \

The script directly modifies the user login keychain by importing a code-signing identity. Keychain mutation by an agent-run script requires explicit user control.

高

assets/templates/package_app.sh:15

Environment file access

if [[ -f "$ROOT/version.env" ]]; then

This line starts a flow that sources repo-local version.env on line 16. A modified project configuration file can execute shell code during packaging.

高

assets/templates/package_app.sh:16

Environment file access

source "$ROOT/version.env"

The script directly sources $ROOT/version.env. Configuration data is executed as shell code, so a malicious project file can run commands.

高

assets/templates/setup_dev_signing.sh:37

Certificate/key files

-nodes -keyout /tmp/dev.key -out /tmp/dev.crt \

The command creates a private signing key with -nodes at /tmp/dev.key. This is sensitive key material written without encryption.

高

assets/templates/setup_dev_signing.sh:40

Certificate/key files

openssl pkcs12 -export -out /tmp/dev.p12 \

The command exports a PKCS#12 file containing the development signing identity. It writes the bundle to a predictable temporary file.

高

assets/templates/setup_dev_signing.sh:41

Certificate/key files

-inkey /tmp/dev.key -in /tmp/dev.crt \

The command consumes /tmp/dev.key and /tmp/dev.crt to build signing material. Those files contain certificate and private key data.

高

assets/templates/setup_dev_signing.sh:44

Certificate/key files

security import /tmp/dev.p12 -k ~/Library/Keychains/login.keychain-db \

The command imports a PKCS#12 signing identity into the user keychain. This is sensitive certificate material with code-signing impact.

高

assets/templates/sign-and-notarize.sh:8

Environment file access

source "$ROOT/version.env"

The script sources $ROOT/version.env before release signing. A modified version.env can execute arbitrary shell commands in the release workflow.

機能レビュー項目 (8)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

assets/templates/setup_dev_signing.sh:37

Temp directory access

-nodes -keyout /tmp/dev.key -out /tmp/dev.crt \

The script writes an unencrypted private key to fixed /tmp/dev.key. Predictable temporary paths can expose signing material through collisions or local attacks.

高

assets/templates/setup_dev_signing.sh:40

Temp directory access

openssl pkcs12 -export -out /tmp/dev.p12 \

The script writes a PKCS#12 signing bundle to fixed /tmp/dev.p12. That file contains signing material and uses a predictable temporary path.

高

assets/templates/setup_dev_signing.sh:41

Temp directory access

-inkey /tmp/dev.key -in /tmp/dev.crt \

The command reads private key and certificate files from fixed /tmp paths. These predictable paths are unsafe for signing material.

高

assets/templates/setup_dev_signing.sh:44

Temp directory access

security import /tmp/dev.p12 -k ~/Library/Keychains/login.keychain-db \

The script imports /tmp/dev.p12 into the login keychain. The imported signing bundle is read from a predictable temporary path.

高

assets/templates/sign-and-notarize.sh:16

Temp directory access

echo "$APP_STORE_CONNECT_API_KEY_P8" | sed 's/\\n/\n/g' > /tmp/app-store-connect-key.p8

The script writes APP_STORE_CONNECT_API_KEY_P8 to /tmp/app-store-connect-key.p8. This stores private API key material in a predictable temporary path.

高

assets/templates/sign-and-notarize.sh:37

Temp directory access

--key /tmp/app-store-connect-key.p8 \

The notarytool command reads the App Store Connect private key from a fixed /tmp file. Sensitive credential material should not use predictable temp paths.

高

assets/templates/sign-and-notarize.sh:16

Generic API/secret keys

echo "$APP_STORE_CONNECT_API_KEY_P8" | sed 's/\\n/\n/g' > /tmp/app-store-connect-key.p8

The script takes APP_STORE_CONNECT_API_KEY_P8 from the environment and writes it to a predictable /tmp file. This can expose notarization credentials.

中

assets/templates/sign-and-notarize.sh:34

Temp directory access

"$DITTO_BIN" --norsrc -c -k --keepParent "$APP_BUNDLE" "/tmp/${APP_NAME}Notarize.zip"

The notarization archive is written to a predictable /tmp path derived from APP_NAME. This can collide with existing files or be manipulated locally.

リスク要因

⚙️ 外部コマンド (41)

📁 ファイルシステムへのアクセス (36)

🌐 ネットワークアクセス (4)

assets/templates/make_appcast.sh:7 assets/templates/make_appcast.sh:58 assets/templates/package_app.sh:53 assets/templates/package_app.sh:172

🔑 環境変数 (8)

assets/templates/make_appcast.sh:8 assets/templates/make_appcast.sh:9 assets/templates/make_appcast.sh:10 assets/templates/make_appcast.sh:73 assets/templates/sign-and-notarize.sh:11 assets/templates/sign-and-notarize.sh:16 references/release.md:6 references/release.md:13

検出されたパターン

macOS Keychain access

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/dimillian-macos-spm-app-packaging/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/dimillian-macos-spm-app-packaging/security.svg)](https://skillstore.io/skills/dimillian-macos-spm-app-packaging?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/dimillian-macos-spm-app-packaging?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dimillian-macos-spm-app-packaging/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/dimillian-macos-spm-app-packaging.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

Dimillian. (2026). macos-spm-app-packaging security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/dimillian-macos-spm-app-packaging/audits/8

BibTeX形式の引用

@techreport{dimillian-dimillian-macos-spm-app-packaging-2026,
  author = {Dimillian},
  title = {macos-spm-app-packaging security audit report (audit version 8)},
  institution = {Skillstore},
  year = {2026},
  number = {8},
  url = {https://skillstore.io/skills/dimillian-macos-spm-app-packaging/audits/8},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "macos-spm-app-packaging security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
  - name: "Dimillian"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/dimillian-macos-spm-app-packaging/audits/8"
identifiers:
  - type: other
    value: "skillstore:dimillian-macos-spm-app-packaging:audit:8"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

新しいSwiftPMアプリを開始する

パッケージ設定、ソースフォルダ、リソース、バージョンメタデータを含むクリーンなアプリスケルトンを作成します。

ローカルビルドをパッケージ化する

Xcodeを開かずに、SwiftPMのビルド出力をテスト用に実行可能な.appバンドルへ変換します。

リリースパイプラインを準備する

SwiftPM macOSのリリースプロセスに、署名、公証、zip作成、Sparkle appcastの手順を追加します。

これらのプロンプトを試す

スターターアプリを作成する

このスキルを使用して、MyAppという名前のSwiftPM macOSアプリをスキャフォールドしてください。フォルダレイアウト、バージョンファイル、最初のパッケージ化手順を含めてください。

ローカルテスト用にパッケージ化する

このスキルを使用して、ローカルテスト用に私のSwiftPM macOSアプリをパッケージ化してください。コピーすべきテンプレートスクリプトと設定すべき変数を説明してください。

リリース署名を追加する

このスキルを使用して、私のSwiftPM macOSアプリの署名と公証を準備してください。必要な認証情報、ファイル、検証手順を一覧にしてください。

テンプレートを適応させる

このスキルを使用して、リソース、フレームワーク、ユニバーサルビルド、Sparkle更新を備えたメニューバーアプリ向けにパッケージ化テンプレートを適応させてください。

ベストプラクティス

コピーした各スクリプトは、署名認証情報を使って実行する前に確認してください。
ローカル開発にはアドホック署名を使用し、Developer ID認証情報はリリースビルド用に限定してください。
バージョン番号、バンドル識別子、ビルド番号はプロジェクト設定で明示的に管理してください。

回避

一時ファイルの取り扱いを確認する前に、実際の認証情報でリリーススクリプトを実行しないでください。
信頼できないリポジトリからの設定ファイルを、検証なしでsourceしないでください。
公証とステープル処理のチェックに合格する前に、appcastやリリースzipを公開しないでください。

よくある質問

このスキルにはXcodeが必要ですか？

Xcodeプロジェクトは避けられますが、一部のテンプレートではXcodeツールまたはコマンドラインツールが必要です。

新しいSwiftPMアプリを作成できますか？

はい。パッケージ、ソース、リソース、バージョンファイルのためのbootstrapレイアウトとリファレンスが含まれています。

リリースに署名して公証できますか？

はい。リリーステンプレートを提供しますが、有効なApple開発者認証情報を用意する必要があります。

ユニバーサルバイナリをサポートしていますか？

はい。パッケージ化テンプレートには、arm64およびx86_64ビルド向けのアーキテクチャ設定が含まれています。

Sparkle appcastを生成しますか？

はい。Sparkleツールとローカルの秘密鍵ファイルを前提とするappcastテンプレートが含まれています。

自動的に実行しても安全ですか？

いいえ。リリースパスでは秘密鍵やキーチェーン変更を扱う可能性があるため、最初にスクリプトを確認してください。

開発者情報

作成者

Dimillian

ライセンス

MIT

Skillstore リビジョン

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/Dimillian/Skills/tree/main/macos-spm-app-packaging

参照

c579efd02184f1128d6741d16e6c8d951d7d4208

メンテナンスの新しさ

2026/7/18

利用状況

14 ダウンロード · 191 閲覧

ファイル構成

📁 assets/

📁 templates/

📁 bootstrap/

📄 Package.swift

📁 Sources/

📁 MyApp/

📄 main.swift

📄 version.env

📄 build_icon.sh

📄 compile_and_run.sh

📄 launch.sh

📄 make_appcast.sh

📄 package_app.sh

📄 setup_dev_signing.sh

📄 sign-and-notarize.sh

📄 version.env

📁 references/

📄 packaging.md

📄 release.md

📄 scaffold.md

Claude Code 自動化フックを構築する

作成者 C0ntr0lledCha0s

Claude Code hooks はチェック、フォーマット、ポリシー適用を自動化できますが、安全でないフックスクリプトはローカルファイルやコマンドに影響を与える可能性があります。このスキルは、構造化されたフック設計、検証、保守をユーザーに案内します。

DevOps＆インフラ表示

macos-spm-app-packaging

自分のエージェントでインストール

エージェントが読めるリソース

テストする

セキュリティ監査

確認済みのセキュリティ上の懸念 (8)

リスク要因

検出されたパターン

レポートリンクをコピー

Markdownバッジ

HTMLバッジ

埋め込みカード

APA形式の引用

BibTeX形式の引用

CITATION.cff

Skillstore スコア

作成できるもの

新しいSwiftPMアプリを開始する

ローカルビルドをパッケージ化する

リリースパイプラインを準備する

これらのプロンプトを試す

ベストプラクティス

回避

よくある質問

開発者情報

Dimillian のその他のスキル

ios-debugger-agent

gh-issue-fix-flow

swiftui-ui-patterns

swiftui-performance-audit

swift-concurrency-expert

swiftui-view-refactor

関連スキル

generate-sparkle-appcast

using-xtool

appinsights-instrumentation

building-plugins

dependency-management

building-hooks