NSAllowsArbitraryLoads вызывает вопросы у команды App Review, секрет в Info.plist может прочитать любой, кто распакует .ipa, а расплывчатое пояснение к разрешению на использование камеры приводит к отклонению сборки. Этот навык выявляет эти и ещё шесть проблем конфигурации приложений Apple до отправки на проверку и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для проекта Xcode: файлов .plist (XML и бинарных, считываемых встроенным в Python модулем для plist), настроек сборки .xcconfig и файлов .entitlements, а также обнаруживает файлы ключей .p8 и .p12. Сканер прослеживает настройки ATS для каждого домена с исключениями, считает исключения для localhost и .local предназначенными только для разработки, учитывает, что ключи GoogleService-Info.plist, идентификаторы клиентов, клиентские токены Facebook и публичные токены Mapbox должны находиться в приложении, и читает .gitignore, чтобы не сообщать об игнорируемых файлах. Он никогда не запускает Xcode. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного решения. Секреты никогда не выводятся.

Что проверяется

БЛОКИРОВКА (исправить до выпуска)

• I01: NSAllowsArbitraryLoads задан как true (App Transport Security отключён)

• I02: секрет API, секрет клиента, токен или пароль в plist либо добавленном в репозиторий .xcconfig

• I03: файл AuthKey .p8 или .p12 в проекте, который не игнорируется git

ПРОВЕРКА (проверить до выпуска)

• I11: обычный HTTP разрешён для реального домена

• I12: произвольные загрузки разрешены в веб-представлениях или для медиаконтента

• I13: TLS 1.0 или 1.1 либо отсутствие прямой секретности для домена с исключением

• I14: пустые, слишком короткие или шаблонные пояснения к разрешениям (NS...UsageDescription)

• I15: get-task-allow в файле entitlements

• I16: включён UIFileSharingEnabled

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причин и более безопасным решением для каждого правила

• Пример конфигурации приложения с рисками и безопасный вариант, а также реальный отчёт сканера по примеру с рисками

Ограничения

Сканер читает файлы в их текущем виде: настройки, добавляемые во время сборки, код Swift, подписанный пакет приложения и настройки App Store Connect не проверяются. Статус NOT FLAGGED не даёт гарантий.

Содержимое

Один ZIP-архив с 16 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (каждое правило с объяснением причин и более безопасным решением) и examples/ (10 файлов примеров плюс report.md, реальный отчёт сканера по примеру с рисками).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, ничего дополнительно устанавливать не нужно. Они только читают ваши файлы: не обращаются к сети и ничего никуда не отправляют.