如何添加SPM插件以无需使用skipPackagePluginValidation选项

核心结论 #

SPM插件的验证本质是签名信任机制，跳过验证确实存在安全风险，完全可以通过合规操作让插件通过官方验证，无需依赖跳过参数。

插件端（包作者）需执行的操作 #

• 用Apple Developer ID签名整个Swift包：通过swift package sign命令（需配置Apple开发者证书），确保包的代码和插件都带有可信的身份签名，这是通过验证的核心前提。
• 遵循SPM插件安全规范：仅使用官方提供的CommandPlugin/BuildToolPlugin接口，避免执行任意系统命令、访问沙箱外敏感路径；在Package.swift中明确声明插件的权限范围（如allowedDestinations、allowedCommands），最小化权限暴露。
• 发布正式版本时，同步上传签名后的包到官方源，确保用户获取的是签名完整的版本。

客户端（包使用者）需执行的操作 #

• 引入官方签名版本的插件包：不要使用未签名的第三方fork，确保依赖的是插件官方发布的、带有开发者签名的版本。
• Xcode端信任操作：第一次弹出插件验证提示时，选择「Allow Always」，Xcode会将该插件的签名加入系统信任列表，后续构建不再触发提示。
• 命令行端同步信任：如果先通过命令行构建，可手动执行swift package trust-plugin命令信任指定插件，例如：

  swift package trust-plugin --package-path ./YourProject SwiftLintPlugin
  

  完成信任后，直接使用xcodebuild或swift test构建即可，无需添加-skipPackagePluginValidation参数。

校验和的作用说明 #

校验和（即Package.resolved中的哈希值）不能单独解决验证问题：它只能验证包的代码完整性（防止被篡改），但无法证明代码的发布者身份。只有将签名验证+校验和验证结合，才能同时保证代码的可信性和完整性。

内容的提问来源于stack exchange，提问作者Prettygeek