XcInspector：用于 Xcode 项目安全

XcInspector 是一个 macOS 应用和命令行工具，用于扫描 Xcode 项目文件以发现可能的安全问题。

为什么？

Xcode 项目在某些情况下可能被用来危害安全与隐私。

项目中可以嵌入任意脚本，这些脚本可能被设置为在特定操作发生时自动运行（例如常见的“Build”命令）。
脚本可能引用项目目录之外的路径。
可执行文件/脚本/库可以被包含在项目归档中。

本工具旨在尝试（而非保证）捕获 Xcode 项目中的一些已知风险。

注意： XcInspector 不会扫描源文件（Swift、Objective-C 等）中代码的任何安全问题。那是本项目范围之外的另一个独立问题。

安装

XcInspector 在 macOS 上同时提供应用和命令行工具两种形式。两者都处于“alpha”状态——意味着它们可以使用，但仍然有些笨拙且不完整。

目前还没有可下载的软件包，因此你必须使用 Xcode 从本项目的源代码编译并构建这些工具。

项目和源代码位于 XcInspector 目录中。

我们在这里使用子目录，是因为我们的示例文件（TestSamples 目录），被单元测试和 UI 测试使用，包含 Xcode 项目文件——其中一些是故意格式错误的文件。将它们放在项目目录中会迷惑 Xcode （这是我们吃了苦头才学到的）。

构建应用

在 Xcode 中打开项目。
选择“XcInspectorApp”方案（Product 菜单 -> Scheme -> XcInspectorApp）。
Product 菜单 -> Build
在 DerivedData 层级深处找到编译后的应用程序：
- 在你的 Xcode DerivedData 目录中（通常在 ~/Library/Developer/Xcode/DerivedData
- 应该有一个以 XcodeProjectSecurity 开头的目录，后面跟着一串看似随机的字符。
- 在该目录中，导航到 Build/Products/Debug
- 在那里你应该能找到（在许多其他东西中）XcInspectorApp.app
- 将其复制到你的 Applications、Utilities 或任何其他你想要放置的目录。

构建命令行工具

在 Xcode 中打开项目。
选择“CommandLineToolRelease”方案（Product 菜单 -> Scheme -> CommandLineToolRelease）。
Product 菜单 -> Build
在 DerivedData 层级深处找到编译后的工具：
- 在你的 Xcode DerivedData 目录中（通常在 ~/Library/Developer/Xcode/DerivedData
- 应该有一个以 XcodeProjectSecurity 开头的目录，后面跟着一串看似随机的字符。
- 在该目录中，导航到 Build/Products/Release
- 在那里你应该能找到（在许多其他东西中）一个可执行文件 xcinspector 文件。
- 将其复制到任何你想要放置的目录（例如 /usr/local/bin）。

用法

XcInspector 应用

要扫描 Xcode 项目，请从应用的“File”菜单中选择“Open…”命令（⌘-O）。然后选择一个包含 Xcode 项目文件（.xcodeproj）的目录，并点击“Open”按钮。

将出现一个报告窗口，告诉你发现了多少个（如果有）可能的问题。报告窗口还会列出每个识别出的问题，包括具体文件，以及（如果适用）遇到该问题的行号。

xcinspector 命令行工具

确保命令行工具位于你可以访问的位置（例如 /usr/local/bin）。

要获取运行该工具时可用选项的说明，请使用命令：xcinspector --help

一般来说，你可以通过传入项目目录的路径，或项目文件（.xcodeproj）本身的路径，来获取给定 Xcode 项目的报告。例如：xcinspector /User/me/Projects/MyApp

生成的报告将输出到终端（stdout），并采用 Xcode 警告格式（filepath:linenumber:(error|warning|note):message）。如果未发现问题，报告将为空（仅输出一个空行）。

你可以选择在报告末尾包含摘要（即使未发现问题也会显示）。 xcinspector --stats path/to/project 或 xcinspector -s path/to/project

你还可以选择包含所发现问题的扩展详细信息。（目前，这仅在发现嵌入脚本时显示脚本的文本。） xcinspector --details path/to/project 或 xcinspector -d path/to/project

使用的技术

macOS 14 Ventura（或更高版本）
Xcode 15（或更高版本）
SwiftUI
SwiftLint

法律

免责声明

虽然此工具可能有助于识别一些可能的安全风险，但它绝不能保证任何特定 Xcode 项目或任何衍生产品的安全。

使用本软件即表示你同意，你独自负责确保你使用或分享的任何 Xcode 项目的安全，并使 XcInspector 的所有作者、贡献者或分发者免于承担任何责任或义务。

版权

许可证

本项目的源代码根据 Mozilla Public License, v. 2.0 的条款提供。

许可证文件随项目文件一起包含。

XcInspector

最受欢迎