Навыки xcode-project-setup

📦

xcode-project-setup

Name: xcode-project-setup
Author: firebase

Ревизия содержимого r1 Средний риск 🌐 Доступ к сети⚙️ Внешние команды📁 Доступ к файловой системе

Безопасная настройка Swift Packages в Xcode

Добавление Swift Packages в проекты Xcode может быть подвержено ошибкам, и его легко нарушить. Этот навык использует входящий в комплект Swift-инструмент для добавления пакетов, связывания продуктов и настройки Firebase plist.

Поддерживает: Claude Codex Code(CC)

⚠️ 50 Плохо

Maintain this Skill? Claim it ⚠️ 50 Плохо

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "xcode-project-setup" from https://skillstore.io/skills/firebase-xcode-project-setup.md and its manifest at https://skillstore.io/api/skills/firebase-xcode-project-setup/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/firebase-xcode-project-setup.md Подписанный manifest GET /api/skills/firebase-xcode-project-setup/manifest Подписанный lockfile GET /api/skills/firebase-xcode-project-setup/lockfile

Протестировать

Использование «xcode-project-setup». Добавить Alamofire в существующий проект приложения.

Ожидаемый результат:

Проект проверяется на наличие допустимого файла проекта Xcode.
Вспомогательный Swift-инструмент добавляет зависимость пакета Alamofire.
Продукт Alamofire связывается с целью приложения.

Использование «xcode-project-setup». Добавить FirebaseAuth с сервисным plist.

Ожидаемый результат:

Пакет Firebase добавляется в список зависимостей проекта.
FirebaseCore и FirebaseAuth связываются с целью.
Сервисный plist включается в фазу сборки ресурсов.
Флаг компоновщика Firebase добавляется, если он отсутствует.

Использование «xcode-project-setup». Настроить FirebaseCrashlytics для цели.

Ожидаемый результат:

Формат отладочной информации проекта настраивается для генерации dSYM.
Фаза сборки Crashlytics добавляется только если она еще не существует.
Существующие продукты пакетов и фазы сборки пропускаются, чтобы избежать дубликатов.

Аудит безопасности

Средний риск

v4 • 05.07.2026 Открыть версионный отчет

The Swift helper performs legitimate Xcode project automation, but it introduces low supply-chain exposure through remote SwiftPM dependencies and package URLs. The main confirmed execution risk is the intentional Crashlytics shell build phase, while most SKILL.md backtick findings are Markdown false positives. No prompt injection attempt or hidden data exfiltration intent was found.

Просканировано файлов

381

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (1)

Средний

scripts/xcode_spm_setup/Sources/main.swift:55-60 scripts/xcode_spm_setup/Sources/main.swift:210-216

Persistent Crashlytics Build Script Phase

The helper adds a Crashlytics build phase that runs a script from the Firebase package checkout during future Xcode builds. This is expected for Crashlytics, but users should explicitly approve persistent build-time scripts.

The code constructs a PBXShellScriptBuildPhase with /bin/sh and appends it when FirebaseCrashlytics is requested. The exact script content lives in the Firebase checkout, so the risk is persistent delegated execution rather than direct malicious code here.

Пункты проверки возможностей (9)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Средний

scripts/xcode_spm_setup/Sources/main.swift:59

Unix shell invocation

shellPath: "/bin/sh",

The helper creates an Xcode shell script build phase with /bin/sh for Firebase Crashlytics. This is intentional, but it persists build-time command execution in the user project.

Низкий

scripts/xcode_spm_setup/Package.resolved:6

Hardcoded URL

"location" : "https://github.com/tadija/AEXML.git",

This is a pinned SwiftPM dependency URL for AEXML in Package.resolved. It can cause network dependency retrieval from GitHub, so it is a low supply-chain risk rather than exfiltration.

Низкий

scripts/xcode_spm_setup/Package.resolved:15

Hardcoded URL

"location" : "https://github.com/kylef/PathKit.git",

This is a pinned SwiftPM dependency URL for PathKit in Package.resolved. It can cause network dependency retrieval from GitHub, so it is a low supply-chain risk rather than exfiltration.

Низкий

scripts/xcode_spm_setup/Package.resolved:24

Hardcoded URL

"location" : "https://github.com/kylef/Spectre.git",

This is a pinned SwiftPM dependency URL for Spectre in Package.resolved. It can cause network dependency retrieval from GitHub, so it is a low supply-chain risk rather than exfiltration.

Низкий

scripts/xcode_spm_setup/Package.resolved:33

Hardcoded URL

"location" : "https://github.com/tuist/XcodeProj.git",

This is a pinned SwiftPM dependency URL for XcodeProj in Package.resolved. It can cause network dependency retrieval from GitHub, so it is a low supply-chain risk rather than exfiltration.

Низкий

scripts/xcode_spm_setup/Package.swift:8

Hardcoded URL

.package(url: "https://github.com/tuist/XcodeProj.git", .upToNextMajor(from: "8.27.7")),

Package.swift declares XcodeProj as a remote SwiftPM dependency from GitHub. This is expected for the helper but remains a low supply-chain and network dependency risk.

Низкий

SKILL.md:58

Hardcoded URL

1. Adding the package repository dependency (e.g., `https://github.com/Alamofire/Alamofire`).

The line describes adding a package repository URL as part of the skill workflow. This is expected behavior, but it does direct the agent toward remote dependency retrieval.

Низкий

SKILL.md:76

Hardcoded URL

swift run --package-path /Users/foo/.agents/skills/xcode-project-setup/scripts/xcode_spm_setup xcode

The example command includes an Alamofire GitHub repository URL that would be added to the user project if used. This is user-directed package installation and a low supply-chain risk.

Низкий

SKILL.md:84

Hardcoded URL

swift run --package-path /Users/foo/.agents/skills/xcode-project-setup/scripts/xcode_spm_setup xcode

The example command includes the Firebase GitHub repository URL that would be added to the user project if used. This is user-directed package installation and a low supply-chain risk.

Факторы риска

🌐 Доступ к сети (10)

scripts/xcode_spm_setup/Package.resolved:6 scripts/xcode_spm_setup/Package.resolved:15 scripts/xcode_spm_setup/Package.resolved:24 scripts/xcode_spm_setup/Package.resolved:33 scripts/xcode_spm_setup/Package.swift:8 SKILL.md:53 SKILL.md:58 SKILL.md:76 SKILL.md:81 SKILL.md:84

⚙️ Внешние команды (29)

📁 Доступ к файловой системе (2)

SKILL.md:76 SKILL.md:84

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/firebase-xcode-project-setup/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/firebase-xcode-project-setup/security.svg)](https://skillstore.io/skills/firebase-xcode-project-setup?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/firebase-xcode-project-setup?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/firebase-xcode-project-setup/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/firebase-xcode-project-setup.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

firebase. (2026). xcode-project-setup security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/firebase-xcode-project-setup/audits/4

Цитата BibTeX

@techreport{firebase-firebase-xcode-project-setup-2026,
  author = {firebase},
  title = {xcode-project-setup security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/firebase-xcode-project-setup/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "xcode-project-setup security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "firebase"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/firebase-xcode-project-setup/audits/4"
identifiers:
  - type: other
    value: "skillstore:firebase-xcode-project-setup:audit:4"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Высокий

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Добавление распространенного iOS-пакета

Установить зависимость Swift Package и связать ее продукт с существующей целью приложения.

Настройка Firebase для приложения

Добавить продукты Firebase, включить сервисный plist и применить необходимые настройки компоновщика.

Стандартизация изменений зависимостей проекта

Использовать один и тот же вспомогательный Swift-инструмент, чтобы избежать хрупких ручных правок файлов проекта Xcode.

Попробуйте эти промпты

Добавить один пакет

Добавь Alamofire в мой существующий проект Xcode и свяжи его с целью приложения. Сначала проверь проект и объясни, какое подтверждение требуется.

Добавить основные продукты Firebase

Настрой FirebaseCore и FirebaseAuth в моем проекте Xcode. Используй существующий GoogleService-Info plist и проверь необходимые настройки компоновщика.

Исправить связывание пакета

Проверь настройку моего проекта Xcode для запрошенного Swift Package. Свяжи все отсутствующие продукты без дублирования существующих зависимостей.

Настроить Crashlytics

Добавь FirebaseCrashlytics в цель моего приложения, настрой параметры dSYM и предупреди меня перед добавлением любой фазы сценария сборки.

Лучшие практики

Проверяйте diff проекта после того, как вспомогательный инструмент изменит файл проекта Xcode.
Подтверждайте URL репозиториев пакетов и версии перед добавлением зависимостей.
Сделайте резервную копию или commit проекта перед запуском команд настройки пакетов.

Избегать

Не используйте сырое текстовое редактирование для исправления файлов проекта Xcode.
Не запускайте настройку в каталоге без существующего проекта Xcode.
Не добавляйте непроверенные репозитории пакетов или продукты в production-приложения.