Swift Package Manager如何将检出代码纳入源码控制？

1. 将SPM包代码提交到项目仓库的方法 #

SPM支持通过本地包引用的方式把依赖代码纳入项目仓库，具体操作如下：

• 手动将目标SPM包的源码下载到项目目录内的指定文件夹（比如Dependencies/）
• 在Xcode中移除原有远程包依赖，选择File > Add Packages...，点击Add Local...，选中刚才下载的包文件夹完成添加
• 将这个本地包文件夹纳入git仓库并提交，协作机器拉取项目后即可直接使用本地代码，无需从远程下载

也可以直接修改Package.swift指定本地路径：

dependencies: [
    .package(path: "./Dependencies/YourPackage")
]

2. 确保SPM下载代码一致性与安全防范 #

若不想提交包源码到仓库，可通过以下方式保障构建一致性并降低安全风险：

• 使用精确版本约束：避免from: "1.0.0"这类模糊约束，直接指定提交哈希（比如.package(url: "仓库地址", .revision("abc123def456"))）或精确版本.exact("1.2.3")，确保SPM每次拉取完全相同的代码
• 验证缓存完整性：通过swift package cache verify命令校验缓存内的包与远程仓库的哈希匹配度，防止代码被篡改
• 使用私有镜像仓库：将依赖包同步到自己可控的私有仓库（如公司内部GitLab），即使原仓库被入侵，也能使用可信的镜像代码
• 提交Package.resolved到仓库：该文件记录了所有依赖的精确版本/哈希值，协作机器拉取项目后，SPM会自动按此文件拉取对应版本，实现和Cocoapods的Podfile.lock一样的构建一致性效果

补充：与Cocoapods的一致性保障对比 #

Cocoapods靠Podfile.lock锁定依赖版本，SPM对应的就是Package.resolved文件，只要提交该文件到仓库，就能达到和Cocoapods一致的构建一致性。若追求完全可控，提交包源码到本地仓库的方式，和Cocoapods的本地pod引用逻辑一致，可彻底规避远程依赖的安全风险。

内容的提问来源于stack exchange，提问作者chupacabra