第三方库：苹果政策遵守性

苹果的更严格 App Store 2025 年的政策规定开发者必须确保所有第三方库符合高标准的隐私、安全和性能要求。违反这些规定可能导致应用程序被拒绝、收入损失和声誉受损。

关键点:

隐私宣言是必须的: 从 2024 年 5 月 1 日起，所有应用程序必须包含详细的隐私宣言（PrivacyInfo.xcprivacy)，以披露第三方 SDK 如何处理用户数据。
审查第三方库: 使用工具如 Xcode 15 生成隐私报告并确保所有 SDK 符合苹果的指南。
保持最新: 定期查看苹果的政策更新、更新 SDK 和使用最新版本的 Capacitor.
避免常见陷阱: 很多拒绝都是因为缺少隐私清单、旧版 SDK 或 API 使用不当。

快速提示:

在 Xcode 中生成隐私报告以识别合规缺陷。
使用工具如 npm audit 和 yarn list 进行依赖分析。
考虑实时更新解决方案如 Capgo 快速修复合规问题而不受 App Store 延迟影响。

Compliance 不仅仅是避免拒绝 - 它建立信任、改善用户体验，并确保长期成功在 App Store 中。

如何添加 App 私密性详细信息标签 (Apple App Store Connect)

App Store Connect

Apple 的第三方 SDK 和隐私要求

Apple 对第三方库在 Capacitor 应用程序设定了严格的规则，以确保隐私和安全性遵从性以获得 App Store 批准。作为开发者，您对应用程序中的每个第三方 code 都负责，包括第三方 SDK，正如 App Store Review 指南中所述。这一责任延伸到数据收集和跟踪实践，使了解并遵守 Apple 的隐私标准至关重要。

Apple 私密性工程的 Tony Tan 强调这一点：

“您对应用程序中的所有 code 负责，根据 App Store Review 指南。这包括任何数据收集和跟踪实践。应用程序的隐私故事中往往依赖于第三方 SDK。我们听说过像您这样的开发者，获取第三方 SDK 所需的所有信息可能会很困难。隐私清单是第三方 SDK 开发者提供有关其隐私实践信息的新方法。这一信息有助于您准确地在应用程序中表示隐私。” - Tony Tan，Apple 私密性工程 [6]

这强调了苹果致力于确保第三方code符合其隐私和安全标准。

第三方SDK指南

苹果要求所有第三方库使用公共API并在最新的iOS版本上顺畅运行。

指南 2.4.5 (第三方软件) 规定第三方code必须符合您自己的标准。使用这些库中的非公共API是拒绝的绝对方法 [10].

指南 5.1.5 (数据收集和存储) 要求处理用户数据的第三方库必须采取强有力的安全措施。这适用于每个第三方库，包括分析工具和崩溃报告SDK [1].

此外，应用程序必须通过 AppTrackingTransparency (ATT) 框架 在追踪用户或访问其广告标识符之前获得明确的用户同意 [4]苹果还禁止使用设备信号进行唯一识别的指纹技术，这一规则直接影响某些分析和欺诈防御SDK [4].

应用程序必须保持 独立包,这意味着它们无法下载或执行code，以便在安装后引入新功能或功能 [1].

隐私清单要求

为了遵守这些指南，苹果要求开发者在隐私清单中包含详细的第三方数据实践文档。从2024年5月1日起，提交到App Store Connect的应用程序必须在隐私清单文件中全面描述其使用所需原因API的用途 [5].

A 隐私清单 是 PrivacyInfo.xcprivacy,这是必须陪同XCFrameworks、Swift包或Xcode项目分发的应用程序和第三方SDK的属性列表文件 Swift 包 [7]. These manifests provide clarity on what data each SDK collects and how it’s used [3].

Swift

NSPrivacyTracking: 指定应用程序或SDK是否用于跟踪目的。
NSPrivacyTrackingDomains: 列出参与跟踪的域名 [8].
NSPrivacyCollectedDataTypes: 描述收集的数据类型，例如设备标识符或用户内容 [7][8].
NSPrivacyAccessedAPITypes: 解释为什么访问了敏感的API，包括API类别和批准的使用原因 [8]. 使用某些API进行设备指纹识别的滥用行为严格禁止 [7][8].

With Xcode 15，应用程序和所有第三方 SDK 的隐私清单将自动合并为一个单独的隐私报告 [7][3]. 生成此报告，请导航到 Product > Archive > Generate Privacy Report, 使您对应用程序中的数据收集有一个全面概述 [7][8].

根据SDK的分发方式，实现过程会有所不同。对于提供静态库的 SDK，需要在 Xcode 15 或更高版本中使用静态框架来正确打包隐私清单文件 [7][8].

截至 2024 年 4 月，研究表明，尤其是在银行和医疗保健等行业的许多应用程序尚未完全实施隐私清单，突出了一个显著的合规缺口 [9].

苹果还引入了 SDK签名 ，伴随隐私清单。这些签名验证第三方 SDK 的开发者在采用新版本时是否签名，添加了一层安全性，保护供应链攻击并确保应用程序依赖项的完整性 [3].

如何审计第三方库在 Capacitor 应用程序

Capacitor框架文档网站

在Capacitor应用程序中审计第三方库是确保遵守苹果政策的关键步骤。通过利用 Xcode 等工具并进行彻底的依赖项分析，可以有效地识别和解决潜在问题

使用 Xcode 隐私报告

Xcode IDE界面

__CAPGO_KEEP_0__的隐私报告功能提供了有关您的应用及其集成的 SDKs 如何处理数据的详细概述。它将隐私清单合并为一个报告，使得更容易看到收集的数据以及如何使用。

以下是如何在 Xcode 中生成隐私报告（需要 Xcode 15 或更高版本）：

打开您的项目在 Xcode 中。
选择 Product > Archive 以创建一个存档；它将在 Organizer 中出现。
在 Organizer 中，右键单击存档并选择 生成隐私报告.
保存报告并检查是否有任何 SDKs 缺少隐私清单。

这份报告对于识别缺乏适当隐私声明的第三方 SDK 至关重要。例如，2023 年 10 月，CodeWithChris 团队突出了苹果的更新政策，要求所有应用程序提交都必须包含隐私清单。这将于 2024 年 5 月 1 日成为必需的。忽略这些声明可能导致 App Store 拒绝，因此在提交前审查 Xcode 隐私报告至关重要，以确保所有披露都是准确的。

虽然 Xcode 隐私报告是一个很好的起点，但额外的工具和方法可以加强您的审计过程。

依赖项分析工具

为了确保全面遵守，使用这些额外的工具和技术与 Xcode 隐私报告一起：

依赖项审查与 package.json: 使用命令，如 npm ls 或 yarn list 来识别项目中的直接和间接依赖项。
安全漏洞检查： 运行工具，如 npm audit 或 yarn audit 来扫描您的依赖项以识别已知的安全漏洞。按照建议应用更新或修补程序。
Capacitor-专属安全实践： 请注意数据安全、身份验证、网络安全和Web视图配置等方面。例如：
- Avoid embedding sensitive information (e.g., API keys) in your code. Instead, manage them server-side.
- 在__CAPGO_KEEP_1__中管理它们，
使用安全的密钥链或密钥库方法来存储本地敏感数据。 Configure a strong CSP for your Capacitor Web View to limit the resources your app can load, reducing exposure to unauthorized scripts.
为SDK Web视图配置强大的CSP，限制应用程序可以加载的资源，减少未经授权脚本的暴露。 从SDK开发者处获取隐私清单：
如果__CAPGO_KEEP_0__缺少隐私清单，请联系开发者并要求获取。 查看Apple的文档：通过查看Apple的官方文档来验证应用程序的数据使用和所需API的符合性。查看Apple的文档：

值得注意的是，许多SDK开发者可以将隐私清单添加到现有的库版本中。这意味着您可能不总是需要更新到最新版本才能满足合规要求。然而，仍然是一个好主意，了解更新和依赖项变化。

如何在Capacitor项目中实施合规性

一旦您对库进行了审计，下一步就是实施修复。这涉及创建隐私清单、管理高风险的SDK和自动化合规性检查。

创建和管理隐私清单

隐私清单是关键文件，概述了您的应用程序及其SDK如何处理用户数据。对于提交到App Store的应用程序，苹果要求这些声明。

在Capacitor中设置隐私清单

要在项目中包含隐私清单，请确保您正在使用兼容的Capacitor版本，例如Capacitor 8.0.0或更高版本 [12].

隐私清单文件，命名 PrivacyInfo.xcprivacy，可以嵌入应用程序和第三方SDK作为XCFrameworks、Swift包或框架捆绑。该文件指定__CAPGO_KEEP_0__收集的数据类型、每种数据类型的目的、是否与用户相关以及是否用于跟踪 [15]如果SDK缺少隐私清单，应该怎么办 [11].

对于不提供隐私清单的SDK，您需要手动将必要的声明添加到应用程序的清单中，基于SDK的__CAPGO_KEEP_1__使用

For SDKs that don’t provide a privacy manifest, you’ll need to manually add the necessary declarations to your app’s manifest based on the SDK’s API usage [13]. For example, the Situm SDK 需要您声明数据类型，如精确位置、设备 ID 和性能数据 [14].

管理高风险 SDK

近期的安全漏洞突出了管理高风险 SDK 的重要性。采用“了解您的 SDK”方法可以帮助减轻这些风险。这涉及测试二进制文件并使用自定义脚本检测受限 API [16][17][18].

使用静态和动态分析工具来检查您的应用程序的二进制文件并确定 SDK 如何收集和传输数据 [16]. 如果您发现受限 API，考虑用自有解决方案替换它们以减少对第三方 code 的依赖并降低漏洞 [17].

持续监控至关重要

定期 SDK 审计是保持合规的关键 [17]. 您负责确保您的应用程序中的每个 SDK 都具有有效的签名和适当的隐私清单。否则，可能会导致您的应用程序被 App Store 拒绝 [17].

Capgo offers a solution that simplifies this process through real-time updates and streamlined compliance workflows.

Capgo for Simplified Compliance

Capgo 实时更新控制台界面

Capgo 提供了一个实用的解决方案来管理合规性挑战，尤其是在实时更新至关重要的情况下。通过 Capgo，您可以立即推送合规性修复，绕过了App Store审查的需要。

此功能在隐私清单发布期间证明了其价值。开发人员能够快速解决合规性问题，而不必等待App Store审批。

无缝部署

Capgo 的实时更新系统允许您在实时部署修复，避免由于App Store审查而造成的延迟。其无缝的CI/CD集成和全球交付系统确保更新能够快速发布，保持您的应用程序与新政策保持一致 [19].

Automating Compliance with Capgo

Capgo 的CI/CD集成使得自动化合规性检查和部署变得容易。当自动化测试检测到合规性问题或出现新隐私要求时，您可以配置管道以使用 Capgo 的实时更新系统部署修复。这种方法有助于您在演进的政策中保持领先，同时确保平滑的用户体验。

提交前合规性检查清单

当您准备将 Capacitor 应用程序提交到App Store时，进行详细的合规性审查至关重要。这一步确保您的应用程序符合Apple的第三方库要求，并避免由于拒绝而造成的延迟。

验证隐私声明

确保所有隐私声明都完整且准确。每个第三方SDK都必须在应用中包含自己的隐私清单或在应用级别的清单中进行记录。使用Xcode 15生成一个集中式隐私报告以连接到App Store Connect。

确认每个SDK的隐私清单与其实际功能相匹配。例如，调整SDK 提供一个清单，概述了其数据跟踪使用和相关隐私标签 [20]。如果SDK没有包含隐私清单，您需要更新应用级别的清单来反映其数据使用 [20]。从2024年春季开始，苹果将要求应用包含所有影响用户隐私的SDK的隐私清单 [11].

此外，请确保所有影响隐私的SDK都已由开发者正确签名。这一步增强了软件供应链安全性并减少了漏洞 [11]。一旦所有检查通过，请在Xcode中测试这些设置以确认准确性

Xcode测试

验证隐私声明后，请使用Xcode彻底测试应用。利用Points of Interest工具来识别可能跟踪用户的网络连接。这项工具有助于您确定哪些域名应该在隐私清单中列为跟踪域名。另外，请确保隐私清单文件正确添加到应用的目标资源中，以便Xcode可以正确编译信息 [7].

扩大测试范围，通过 TestFlight在多台设备上运行应用. 这个 beta 测试阶段对于发现潜在问题至关重要，避免在 App Store 审核时出现问题 [22].

常见错误和解决方法

测试完成后，确保您的应用程序符合以下常见合规要求，才能顺利提交：

隐私声明不完整： 如果在 App Store 审核期间出现警告，请重新检查您的应用程序的 code，确认所有必填项都已包含 [21]. 检查每个第三方库的文档，以了解其数据收集和处理实践
缺失或错误的隐私清单： 确保每个隐私清单准确反映了 SDK 的功能。如果需要，请与 SDK 的官方文档进行交叉引用 [11].
未签名的第三方 SDK： Xcode 将标记未由开发者签名的 SDK [3]. 如果发生这种情况，请联系供应商获取更新版本或考虑切换到遵守 Apple 签名标准的替代 SDK
不准确的元数据： 确保您的应用程序的描述和关键词准确反映其功能，特别是在数据收集和第三方集成方面。 metadata不匹配可能导致拒绝 [22].
性能问题： 使用Xcode的调试工具来识别和修复内存泄漏或优化性能。第三方库的启动时间和响应性对第三方库的影响 [22].

如果在提交后出现合规问题，工具如Capgo的实时更新系统可以成为救命稻草。Capgo允许您部署实时修复，而无需等待App Store批准，帮助您保持与不断演进的政策保持一致的用户体验

维持长期合规

苹果的政策不断演进，而对于 Capacitor开发者来说，保持最新是持续挑战。规则不断变化——新的要求出现，已有的指南更新。要保持合规，需要主动监控这些变化，利用自动化，并确保您的部署过程可以快速适应

监控政策变化

苹果频繁更新App Store Review Guidelines， 苹果应用商店和Google Play的85%移动应用程序存在安全和隐私问题 [24]。这突出了保持政策变化的重要性，以避免掉入大多数人中去

建立一个月度审查周期并维护一个合规日历来跟踪重要更新和截止日期。订阅Apple Developer警报并关注行业频道可以帮助您捕捉到微小的指南变化。开发者经常错过Apple在主要iOS版本发布之间引入的重要更新。

季度审查:评估OS兼容性和API的更新。
周报:处理漏洞和加密更新 [23].

除了Apple的官方资源之外，开发者社区和行业出版物可以提供有关潜在政策变化的早期见解。这些讨论往往在变化被广泛知晓之前就浮出水面，给您提供了额外的时间来准备。

记录每个影响应用第三方库的政策变化也是很聪明的。一个简单的电子表格可以跟踪变化的日期、受影响的库、所需的行动和截止日期。这份文档不仅有助于合规审计，还可以为您提供Apple政策趋势的清晰图景。

为了更高效地管理这些更新，自动化是关键。

自动化合规检查

随着您的应用增长并包含更多第三方库，手动合规检查变得不切实际。早期安全扫描至关重要，因为 70%的安全漏洞源于脆弱的code [25]. 自动化可以帮助您及早发现并解决这些问题。

以下是如何将自动化集成到您的工作流程中的方法:

静态应用安全测试 (SAST): 这些工具会自动扫描您的 code 在每次提交时，早期识别出漏洞。
自动化依赖分析: 将其整合到您的 CI/CD pipeline. 有 82% 的应用程序使用开源组件 - 很多组件有已知的安全漏洞 [25] - 工具如 npm audit 可以在应用程序进入生产环境之前标记过时的库和漏洞。
《政策》作为 Code: 这种方法使得遵守要求能够像软件一样被处理，从而实现版本管理、测试和自动执行。使用《政策》作为 Code 的组织报告了遵守要求的验证 比传统方法快 30% [25].
实时扫描: 在开发过程中持续监控您的代码库可以防止非遵守要求的 code 进入主分支。 65% 的组织在将遵守要求直接整合到开发周期中时会看到安全事件的减少 [25].

Capgo 实时更新

自动化只是解决方案的一部分。当遵守要求问题在应用程序发布后出现时，传统的更新周期可能会让您暴露在安全风险中数周。这种情况下,Capgo 就会发挥作用，提供实时更新来立即解决遵守要求问题。

Capgo 使用 端到端加密 以确保这些更新符合苹果严格的安全标准。与其他平台使用的基本签名方法不同,Capgo 的加密与苹果对第三方集成的安全要求保持一致。

该平台还包括 rollback feature, which is invaluable if a compliance update causes unexpected issues. For example, if a privacy manifest update or a library replacement introduces problems, you can immediately revert to the previous version while working on a more permanent solution.

“It’s really important nowadays to get quick feedback. We should add security tests and get a security report in the early stages to understand that code has something that could cause a high-security vulnerability. That’s the whole point of DevOps.”

__CAPGO_KEEP_0__与CI/CD管道无缝集成，允许将合规更新自动化为开发工作流程的一部分。当自动扫描检测到漏洞或政策违规时，__CAPGO_KEEP_1__可以直接将修复部署到受影响用户中。这减少了手动工作量并确保了对新威胁的快速响应。 [24]

Capgo integrates seamlessly with CI/CD pipelines, allowing compliance updates to be automated as part of your development workflow. When automated scans detect vulnerabilities or policy violations, Capgo can deploy fixes directly to affected users. This reduces the manual workload and ensures a rapid response to emerging threats.

95%的更新在24小时内就能交付， __CAPGO_KEEP_0__确保合规修复能够快速到达用户。这种速度在苹果宣布政策变化时尤其重要，尤其是在安全相关更新时，尤其是在安全相关更新时，紧迫性特别高。, Capgo ensures compliance fixes reach users quickly. This speed is especially critical when Apple announces policy changes with tight deadlines, particularly for security-related updates.

App Store App Store App Store

成功的合规

与苹果的合规要求打交道不必感到困难。使用正确的策略，合规可以从成为障碍转变为成为您的应用程序独特之处的优势。

主要要点

符合苹果的合规标准对于解锁应用程序的全部潜力至关重要。苹果处理 50% 的应用程序评论在 24 小时内处理，90% 在 48 小时内处理 [26]，因此准备充分可以确保您的应用程序更快地到达用户。

合规之旅始于了解苹果的隐私清单要求和第三方SDK指南。使用 Xcode 报告和依赖分析工具定期审计您的应用程序有助于识别并解决潜在问题，避免因拒绝而导致的拒绝。通过主动管理隐私清单和高风险 SDK，您可以将您的应用程序与苹果的不断演进的规则保持一致。

持续的审计和自动化是保持合规的关键。将合规检查嵌入 CI/CD pipeline 允许您尽早捕获漏洞并顺利适应政策更新。保持苹果指南的最新状态、维护清晰的隐私政策、优先保护数据以及进行可用性测试等行动都是必不可少的步骤 [2]建立一个合规框架，定期审计和内部标准库，确保您的应用程序在长期内保持准备充分。

除了技术考虑之外，遵守法规会建立信任。展示可靠性和用户安全性会带来更好的评论、更多下载和减少应用移除的风险。 [2]这些策略对于实现App Store成功和培养长期用户信任至关重要。

实时更新解决方案还可以进一步简化遵守法规的努力，帮助您在出现挑战时保持领先。

如何Capgo可以帮助

通过实时更新解决方案来实现这些最佳实践会更容易，Capgo将遵守法规转化为一个主动的过程，已经被数千个生产应用所依赖。

Capgo的平台具有端到端的加密，确保实时更新符合苹果严格的安全标准。通过无缝的CI/CD集成和即时回滚功能，应用始终保持遵守和安全。

对于Capacitor开发者，Capgo自动扫描并启用快速更新，允许您立即处理违规问题，绕过App Store延迟。该平台的能力 95%的更新在24小时内 确保您始终领先于政策变化，而不是在调整时慌乱。

随着苹果的政策继续演进，拥有可靠的实时更新解决方案如Capgo对于维持应用的竞争力和在遵守法规的App Store环境中赢得用户信任至关重要。

常见问题

::: faq

开发者如何确保他们的Capacitor应用中的第三方库符合苹果App Store的要求?

为了确保您的Capacitor应用中的第三方库符合苹果App Store的政策，请遵循以下步骤：

添加隐私清单:对于每个您使用的第三方SDK，包括详细的隐私清单。这份文件应该清晰地说明收集的数据以及为什么收集。它是App Store提交的必备要求，并有助于确保与苹果和您的用户之间的透明度。
在App Store Connect中说明数据使用:清晰地说明您的应用及其第三方库如何管理用户数据。如果数据用于跟踪，请在您的提交中说明，并确保通过AppTrackingTransparency框架获得用户的同意，iOS 14.5中引入。

通过遵循这些步骤，您将符合苹果的政策，并且可以建立信任与您的用户。像 Capgo 这样的工具可以使这个过程更容易，让您可以在实时更新您的Capacitor应用而无需重新审批App Store，保持您的应用符合和最新的要求而不必麻烦。

::::

How does Capgo’s live update system help ensure compliance with Apple’s App Store policies?

如何Capgo的实时更新系统帮助确保符合苹果App Store的政策？ 实时更新这意味着可以修复bug、加强安全性、提高性能 - 不需要等待app store的审查。这是确保应用程序适应苹果不断变化的指南的高效方式，尤其是关于 隐私规则 和 用户数据保护.

通过Capgo,开发者可以保持应用程序的正常运行和符合法规的状态，同时避免不必要的延迟。功能如端到端加密和实时更新确保更新符合苹果和安卓的标准，使其成为长期维持符合法规的可靠选择。