如何通过Xcode预构建脚本在编译时将信息存入Keychain？

1. Scheme预构建脚本方案完全可行 #

可以通过Scheme的预构建（Pre-actions）运行脚本实现编译阶段向Keychain写入信息的需求。预构建脚本会在Xcode开始编译项目代码之前执行，正好匹配你在编译阶段注入信息的时机要求。

最直接的实现方式是利用macOS自带的security命令行工具，它能直接操作Keychain，无需额外编译代码，适合简单的写入场景。

示例脚本（写入通用密码项）：

# 定义Keychain项的参数
KEYCHAIN_SERVICE="MyAppBuildMetadata"
KEYCHAIN_ACCOUNT="BuildBot"
SECRET_VALUE="$BUILD_SECRET" # 可从环境变量、配置文件读取

# 先尝试删除已有项（避免重复写入冲突）
security delete-generic-password -a "$KEYCHAIN_ACCOUNT" -s "$KEYCHAIN_SERVICE" 2>/dev/null

# 写入新的Keychain项，-U表示允许更新，-keychain指定钥匙链（默认用登录钥匙链）
security add-generic-password -a "$KEYCHAIN_ACCOUNT" -s "$KEYCHAIN_SERVICE" -w "$SECRET_VALUE" -U -keychain ~/Library/Keychains/login.keychain-db

注意：首次运行时Xcode可能会请求Keychain访问权限，需要在系统偏好设置→安全性与隐私→隐私→完全磁盘访问中给Xcode授权，或者在弹出的权限请求中允许。

2. 可以在预构建阶段调用Swift/Objective-C文件 #

如果需要处理复杂逻辑（比如加密敏感信息、动态生成内容），可以编写Swift/Objective-C工具，在预构建脚本中调用。但要注意：

• 预构建阶段还未编译主项目代码，因此不能直接引用主项目的代码，需要单独编写可执行文件或Swift脚本（无需编译，直接用swift命令运行）。

Swift脚本示例（直接运行，无需编译）

创建WriteToKeychain.swift文件，内容如下：

import Foundation
import Security

func addToKeychain(service: String, account: String, value: String) -> Bool {
    let query: [CFString: Any] = [
        kSecClass: kSecClassGenericPassword,
        kSecAttrService: service,
        kSecAttrAccount: account,
        kSecValueData: value.data(using: .utf8)!
    ]
    
    // 先删除已有项
    SecItemDelete(query as CFDictionary)
    
    let status = SecItemAdd(query as CFDictionary, nil)
    return status == errSecSuccess
}

// 从命令行参数或环境变量获取参数
guard let service = ProcessInfo.processInfo.environment["KEYCHAIN_SERVICE"],
      let account = ProcessInfo.processInfo.environment["KEYCHAIN_ACCOUNT"],
      let value = ProcessInfo.processInfo.environment["SECRET_VALUE"] else {
    print("Missing required parameters")
    exit(1)
}

if addToKeychain(service: service, account: account, value: value) {
    print("Successfully wrote to Keychain")
    exit(0)
} else {
    print("Failed to write to Keychain")
    exit(1)
}

然后在预构建脚本中调用：

# 设置环境变量
export KEYCHAIN_SERVICE="MyAppBuildMetadata"
export KEYCHAIN_ACCOUNT="BuildBot"
export SECRET_VALUE="$BUILD_SECRET"

# 运行Swift脚本
swift "$SRCROOT/Scripts/WriteToKeychain.swift"

3. 最优实现方式选择 #

• 简单场景（固定/静态信息写入）：优先用security命令行脚本，实现成本低，无需额外代码维护，适合写入环境变量、版本号等简单信息。
• 复杂场景（动态逻辑/加密需求）：用Swift脚本或单独编译的OC可执行文件，能处理更复杂的业务逻辑，同时利用苹果官方的Security框架保证安全性。

关键注意事项 #

• 敏感信息保护：不要把明文敏感信息硬编码在脚本中，建议通过Xcode的Scheme环境变量、本地配置文件（需加入.gitignore）或CI/CD变量传递。
• 访问组配置：如果需要让App读取编译阶段写入的Keychain项，写入时要指定App的Keychain访问组（通过security命令的-A参数，或Swift代码中添加kSecAttrAccessGroup字段）。
• 脚本兼容性：确保脚本在不同macOS版本下能正常运行，security命令的参数在不同系统版本中可能有细微差异，建议在目标开发环境中测试。

内容的提问来源于stack exchange，提问作者Rinku Khatri