mufeng-ios-release-audit

Files (2)

• README.md
• SKILL.md

SKILL.md (first lines)

# iOS App Store 完整发布审计

对着代码库逐项核验，输出 pass/fail 表格。**全程只读，不改代码**——发现问题先报告根因和修复方案，等用户批准再动手。

## 来源

清单的每一项都来自真实事故或真实审查，不是通用最佳实践的罗列：

| 会话 | 项目 | 产出的教训 |
|---|---|---|
| 2026-07-09 | SpeechNote | **Guideline 3.1.2 反复拒审**：Terms 只是 App 内本地文本页，没有网址，导致商店页描述里没有可点 EULA 链接 |
| 2026-07-12 上午 | ShotZen | 上线前审查：版本号 1.1.1 与素材 1.2.0 不符；CoreData `fatalError` 启动崩溃隐患 |
| 2026-07-12 晚 | ShotZen | 商店文案四语；简中名称必须锁定备案名 |
| 2026-07-12 深夜 | ShotZen | 定价：`.lproj` 里 3 条硬编码旧价死字符串；静态截图印死价格风险 |
| — | Creem | 支付通道审核拒因：Terms 必须明确禁止 NSFW 内容——URL 可达不等于内容达标 |

## 前置

确认在 iOS repo 根目录（有 `*.xcodeproj`）。所有文件枚举**一律用 `git ls-files`**——`find` 会命中 `build/`、`.build/DerivedData/` 里的构建产物副本，导致同一语言重复统计、结果失真（已踩过）。

---

## 1. 权限说明文案

两种存放位置，**都要查**，查空了不等于 FAIL：

```bash
# (a) GENERATE_INFOPLIST_FILE = YES 的项目，文案在 pbxproj 里（ShotZen 是这种）
grep -oE "INFOPLIST_KEY_NS[A-Za-z]*UsageDescription = [^;]*;" *.xcodeproj/project.pbxproj | sort -u

# (b) 有独立 Info.plist 的项目（SpeechNote 是这种，(a) 会返回空）
grep -A1 "UsageDescription" $(git ls-files "*Info.plist" | head -1)
```

(a) 返回空只说明项目用的是 (b)，别误判成"没有权限文案"。

**判定**：代码里实际请求的每种权限都要有对应文案；文案说清**为什么要**和**数据去哪**，不能只写 "需要相册权限"。
参考达标写法（ShotZen）："ShotZen reads your screenshots to organize them with on-device AI. Photos never leave your device."

顺带查出口合规声明，缺了每次提交都要手填加密问卷：

```bash
grep -o "ITSAppUsesNonExemptEncryption[^;]*;" *.xcodeproj/project.pbxproj | sort -u
```

## 2. 托管的条款/EULA URL

**这是唯一一次真实 App Store 拒审的位置，优先级最高。**

3.1.2 要求：有自动续订/内购的 App，**商店页描述（Description）字段**里必须有可点击的 Terms of Use (EULA) 链接。注意三点，全是 SpeechNote 那次踩过的：

- 「元数据」指**商店页描述字段**，不是推广文本，不是审核备注，不是 App 内
- App 内购买页有「服务条款」按钮**不算数**——SpeechNote 内购页有按钮，照样被拒
- 必须是完整 `https://` 网址才会被 App Store 渲染成可点链接；写「服务条款」四个字或相对路径无效

先看代码里的法务 URL 到底存不存在：

```bash
grep -rhoE 'https://[A-Za-z0-9./_-]*(privacy|terms|eula|legal)[A-Za-z0-9./_-]*' --include="*.swift" . | sort -u
```

**关键判定**：Terms/EULA 是否只是个本地文本常量（如 `presentLegalPage(termsContent)`）而**根本没有网址**。这正是 SpeechNote 反复被拒的根因——不是"URL 填错了"，是"URL 压根不存在"。若 grep 只出隐私政策、没出 terms，直接判 FAIL。

再验证每个 URL 真能访问（reviewer 会点）：

```bash
for u in <上一步的 URL>; do
  echo "$(curl -s -o /dev/null -w '%{http_code}' -L --max-time 15 "$u")  $u"
done
```

非 200 判 FAIL。

**若确实缺 EULA 网址**，两个选择：
- 省事：用 Apple 标准 EULA `https://www.apple.com/legal/internet-services/itunes/dev/stdeula/`
- 一致（推荐）：与隐私政策同域自托管一份 terms 页，同时把 App 内按钮也改成开这个网址

⚠️ 若 App 内用的是自定义条款文本、元数据却填 Apple 标准 EULA，二者内容不一致是隐患。

## 3. 条款内容覆盖违禁内容

**教训来源**：Creem 审核拒因——支付通道要求 Terms 明确禁止 NSFW 内容。第 2 项的 200 只证明页面存在，不证明内容达标。

对第 2 项拿到的 Terms/EULA URL 拉正文检查：

```bash
curl -sL --max-time 20 "$TERMS_URL" | sed 's/<[^>]*>//g' | \
  grep -inE 'prohibit|forbidden|not permitted|nsfw|adult content|porn|sexual|illegal|unlawful|禁止|不得|违法'
```

**判定**：
- 命中明确的禁止性条款（违禁内容 / 违法用途 / 年龄门槛，至少其一）→ `✅ PASS`，引用命中行作证据
- URL 可达但无命中 → `⚠️ 需人工确认`，并在报告里给出建议补写的条款要点：禁止色情/NSFW 内容、禁止违法用途、平台对违规内容的处置权、使用年龄门槛
- 页面 JS 渲染导致 curl 拿不到正文 → `⚠️ 需人工确认`，注明原因，让用户人工打开核对
- 若用 Apple 标准 EULA，本项自动 PASS（Apple 条款已覆盖），但要提醒：App 内自定义条款与之不一致仍是隐患（见第 2 项）

## 4. 付费墙无硬编码价格

**先摆正认知**：在用的 Paywall 代码通常本来就没问题——ShotZen 的价格、月均价、省钱角标全是运行时从 StoreKit `displayPrice` 取或实时算的。真正的坑在另外三处。

**(a) `.lproj` 里的死字符串**（ShotZen 实际中招，3 条硬编码 `$9.99`/`$14.99`）：

```bash
grep -rnE '[¥$€£][0-9]+([.,][0-9]{2})?|[0-9]+\.99' $(git ls-files "*.lproj/Localizable.strings")
```

命中后**不要直接判 FAIL**——先 grep 该 key 是否还被 `L()` 引用。ShotZen 那 3 条无人引用、不显示，但属于地雷（有人接回去就显示错价），结论是删掉。

**(b) Swift 源码里的价格字面量**：

```bash
grep -rnE '"\s*[¥$€£][0-9]+' --include="*.swift" .
```

**(c) 静态营销截图印死价格 —— 风险最大的一项**
商店截图是静态图，不会跟着动态价格变。改价后截图里的价格必然对不上，既影响转化，reviewer 也可能挑。**这项无法自动检测**，必须让用户人工确认：截图里的 Paywall 画面有没有印具体价格。在表格里标为「需人工确认」。

**(d) 项目 CLAUDE.md 里关于价格的描述可能过时**
ShotZen 的 CLAUDE.md 曾写着「Save 69% chip 硬编码、调价要同步改文案」，核实下来角标是实时算的，这条已过时。**以代码为准，不要信文档**。

From ichangyou/mf-ai-skills, MIT.

More from ichangyou/mf-ai-skills