在Xcode中用Bash脚本收集TODO/FIXME遇沙盒写入权限问题

问题背景 #

在Xcode 15.4、16及16.1 beta 2版本中，执行Run Script脚本搜索Objective-C/Swift文件中的TODO/FIXME标记时，出现「Sandbox: bash(xxxx) deny(1) file-write-create」错误，无法在外部磁盘Puddle的项目目录创建输出文件。脚本在终端运行正常，且已为Xcode授予全盘访问权限。

解决方案 #

1. 改用沙箱允许的临时目录输出 #

Xcode的Run Script沙箱对外部磁盘的写入存在限制，即使开启全盘访问也可能触发权限拦截。将输出文件转移到系统临时目录$TMPDIR即可绕过该限制：

# 替换原OUTPUT_FILE定义为临时目录路径
OUTPUT_FILE="${TMPDIR}/todo_fixme_report.txt"

临时目录属于沙箱允许的写入范围，脚本后续的open命令仍可正常打开该文件。

2. 调整Xcode项目的沙箱权限配置 #

• 打开项目的Signing & Capabilities标签页
• 添加App Sandbox能力（若未添加）
• 在File Access区域，勾选User Selected File的Read/Write权限；开发阶段可直接开启Full Disk Access（注意：发布版本不建议使用该权限）
• 再次确认系统设置隐私与安全性->全盘访问中已勾选Xcode

3. 优化脚本逻辑，避免不必要的错误触发 #

原脚本两次执行grep，且会因第一次grep未找到匹配（返回非0）而触发错误退出。合并grep操作并调整判断逻辑：

# 合并grep搜索，捕获结果
grep_output=$(grep -r --include=\*.{swift,m,h} "TODO:\|FIXME:" "$PROJECT_DIR")

# 根据结果生成报告
if [ -n "$grep_output" ]; then
    echo "The following files contain TODOs or FIXMEs:" > "$OUTPUT_FILE"
    echo "$grep_output" >> "$OUTPUT_FILE"
else
    echo "No TODOs or FIXMEs found." > "$OUTPUT_FILE"
fi

此修改不仅避免了无匹配时的错误退出，还减少了一次磁盘IO操作，提升脚本效率。

4. 验证外部磁盘挂载方式 #

执行终端命令mount查看外部磁盘Puddle的挂载参数，确保没有noexec、nosuid等限制写入的参数。若存在此类参数，重新挂载磁盘或调整挂载设置。

内容的提问来源于stack exchange，提问作者iPadawan