auditing-appstore-readiness

该 Skill 是一款专为 iOS 应用商店发布准备的合规性审计工具，支持原生 Swift/Objective-C、React Native 及 Expo 项目。通过运行本地 Node.js 脚本，它能够对代码仓库进行全面的静态分析，检测隐私清单、权限配置、应用图标、启动图等关键合规项，并生成包含 PASS/WARN/FAIL 评级的专业报告。

核心用法围绕 audit.mjs 脚本展开。开发者只需在项目根目录执行命令，即可获得 Markdown 或 JSON 格式的审计结果。工具会自动识别项目类型（通过检测 package.json、Xcode 项目文件等），并执行分层检查：基础层包括仓库卫生、Bundle ID 识别、隐私政策链接检查；进阶层涵盖隐私清单（PrivacyInfo.xcprivacy）完整性、ATS 配置安全性、第三方 SDK 合规性；对于 macOS 环境，还可选配 Xcode 构建验证，通过 xcodebuild 命令检测编译可行性。

显著优点在于其多框架兼容性与安全设计。不同于单一技术栈工具，它统一支持原生开发与跨平台方案，满足多样化团队需求。安全层面采用"默认只读"原则，所有可能修改工作区的操作（如依赖安装、构建归档）均被明确标记为 MUTATING，需用户显式授权后方可执行，有效防止误操作。此外，工具完全本地运行，无网络通信，不收集敏感数据，反而能扫描并警告仓库中可能泄露的密钥。

局限性方面，完整功能依赖 Node.js 运行环境，且深度构建检查仅限 macOS/Xcode 环境可用，Linux/Windows 用户仅能获取静态分析结果。作为 T3 来源的社区工具，虽代码已开源审查，但仍建议团队在使用前进行内部安全评估。此外，工具无法替代人工审核，App Store Connect 元数据、版权合规、出口管制等关键事项仍需开发者手动确认。

适用群体主要包括：准备提交 TestFlight 或 App Store 的 iOS 开发者；需要 CI/CD 集成自动化合规检查的 DevOps 工程师；以及使用 React Native/Expo 技术栈的跨平台团队。对于追求发布流程标准化、希望降低因配置疏漏导致审核驳回风险的团队尤为适用。

使用风险主要集中在执行环境上。尽管工具本身无恶意代码，但其通过 child_process.spawnSync 调用外部二进制文件（git、plutil、python3），虽参数经过严格过滤且禁用 shell 解释，但在极端输入情况下仍需警惕命令注入可能。建议仅在受信任的代码仓库上运行，并妥善保管生成的审计报告（可能包含 Bundle ID 等应用指纹信息）。