dennis/foodbridge-app
Watch
1
0
Fork
You've already forked foodbridge-app
 0
Code Issues Pull requests Projects Releases 10 Packages Wiki Activity Actions

Vor Public-Freigabe: Repo auf geleakte Secrets prüfen #1

New issue
Closed
opened 2026-09-18 14:45:06 +00:00 by dennis · 1 comment
dennis commented 2026-09-18 14:45:06 +00:00
Owner
Copy link

Voraussetzung, bevor das Repo öffentlich geht (#folgt). Ist die Pipeline erst public, darf im Code und in der gesamten Git-Historie nichts Sensibles liegen.

Vorab-Scan vom 18.09.2026 (ZCode)

  • Working Tree: kein Treffer für Secret-Muster (API-Keys, Passwörter, Tokens, Private-Key-Blöcke)
  • Git-Historie (Inhalt, alle Commits): kein Treffer; .env, *.jks, keystore.properties, *.pem waren nie getrackt
  • keystore/ (Keystore + Klartext-Passwörter in FORGEJO-SECRETS.md): vollständig über .gitignore:12 ignoriert
  • Signierung läuft ausschließlich über die Forgejo-Repo-Secrets (KEYSTORE_BASE64 usw.), nicht über Dateien im Repo

Verbleibende Prüfpunkte

  • Alte Release-Assets/Attachments durchsehen (nur APKs, kein Debug-Output)
  • Beim Public-Machen: Secrets in den Repo-Settings bleiben privat (Forgejo zeigt Actions-Secrets nie öffentlich)
  • Nach der Umstellung einmal git clone ohne Credentials als Gegenprobe

Scan war clean — Issue kann nach Bestätigung der Checks geschlossen werden.

Voraussetzung, bevor das Repo öffentlich geht (#folgt). Ist die Pipeline erst public, darf im Code und in der **gesamten Git-Historie** nichts Sensibles liegen. ## Vorab-Scan vom 18.09.2026 (ZCode) - **Working Tree:** kein Treffer für Secret-Muster (API-Keys, Passwörter, Tokens, Private-Key-Blöcke) - **Git-Historie (Inhalt, alle Commits):** kein Treffer; `.env`, `*.jks`, `keystore.properties`, `*.pem` waren **nie** getrackt - **`keystore/`** (Keystore + Klartext-Passwörter in `FORGEJO-SECRETS.md`): vollständig über `.gitignore:12` ignoriert - Signierung läuft ausschließlich über die Forgejo-Repo-Secrets (`KEYSTORE_BASE64` usw.), nicht über Dateien im Repo ## Verbleibende Prüfpunkte - [ ] Alte Release-Assets/Attachments durchsehen (nur APKs, kein Debug-Output) - [ ] Beim Public-Machen: Secrets in den Repo-Settings bleiben privat (Forgejo zeigt Actions-Secrets nie öffentlich) - [ ] Nach der Umstellung einmal `git clone` ohne Credentials als Gegenprobe Scan war clean — Issue kann nach Bestätigung der Checks geschlossen werden.
dennis commented 2026-09-20 13:42:00 +00:00
Author
Owner
Copy link

Abschluss-Scan 20.9.2026 (alle Prüfpunkte abgearbeitet)

1. Release-Assets (alle 4 Releases):

  • stable → FoodBridge.apk
  • v0.2.0 → FoodBridge-0.2.0.apk
  • v0.2.0-dev.1 → FoodBridge-0.2.0-dev.1.apk
  • v0.1.0 → FoodBridge-0.1.0.apk
    ✅ Nur signierte Release-APKs, kein Debug-Output, keine Zusatz-Attachments.

2. Working Tree (erneut, erweiterte Muster):
✅ Keine Secrets. Einzige Treffer sind Code-Bezeichner (Grocy-App-Token wird zur Laufzeit vom Nutzer eingegeben, nicht eingebettet).

3. Git-Historie (28 Commits, alle Branches/Tags):
✅ .env, *.jks, keystore.properties, *.pem, *.p12 waren nie getrackt.
✅ Kein Treffer für ghp_/gsh_/AKIA/sk-/BEGIN PRIVATE KEY-Muster, keine langen Base64-Blöcke (Keystore-Base64 nie in Historie).

4. APK-Inhalt (stable-APK entpackt, binär gescannt):
✅ Keine eingebetteten Keys/Tokens. Einzige URLs: Android-Standard-URLs + http://192.168.x.x:8080 als UI-Placeholder im Onboarding/Settings (bewusst, kein echtes Netz).

5. Forgejo-Settings/Actions:
✅ Secrets-API anonym → 401 (Repo-Secrets KEYSTORE_BASE64 etc. bleiben privat).
✅ Actions-Run-Seiten öffentlich gescannt: 0 Treffer für Klartext-Secrets (KEYSTORE_PASSWORD=, storePassword=, Base64-Block, Auth-Header).

6. Gegenprobe anonymes Klonen:
✅ git clone https://git.weick.io/... ohne Credentials erfolgreich (Repo ist bereits public, .git nur 304K, kein LFS).

Fazit: Clean. Keine Secrets in Code, Historie, APKs oder CI-Logs. Issue erfüllt.

**Abschluss-Scan 20.9.2026 (alle Prüfpunkte abgearbeitet)** **1. Release-Assets (alle 4 Releases):** - stable → FoodBridge.apk - v0.2.0 → FoodBridge-0.2.0.apk - v0.2.0-dev.1 → FoodBridge-0.2.0-dev.1.apk - v0.1.0 → FoodBridge-0.1.0.apk ✅ Nur signierte Release-APKs, kein Debug-Output, keine Zusatz-Attachments. **2. Working Tree (erneut, erweiterte Muster):** ✅ Keine Secrets. Einzige Treffer sind Code-Bezeichner (Grocy-App-Token wird zur Laufzeit vom Nutzer eingegeben, nicht eingebettet). **3. Git-Historie (28 Commits, alle Branches/Tags):** ✅ .env, *.jks, keystore.properties, *.pem, *.p12 waren nie getrackt. ✅ Kein Treffer für ghp_/gsh_/AKIA/sk-/BEGIN PRIVATE KEY-Muster, keine langen Base64-Blöcke (Keystore-Base64 nie in Historie). **4. APK-Inhalt (stable-APK entpackt, binär gescannt):** ✅ Keine eingebetteten Keys/Tokens. Einzige URLs: Android-Standard-URLs + `http://192.168.x.x:8080` als UI-Placeholder im Onboarding/Settings (bewusst, kein echtes Netz). **5. Forgejo-Settings/Actions:** ✅ Secrets-API anonym → 401 (Repo-Secrets KEYSTORE_BASE64 etc. bleiben privat). ✅ Actions-Run-Seiten öffentlich gescannt: 0 Treffer für Klartext-Secrets (KEYSTORE_PASSWORD=, storePassword=, Base64-Block, Auth-Header). **6. Gegenprobe anonymes Klonen:** ✅ `git clone https://git.weick.io/...` ohne Credentials erfolgreich (Repo ist bereits public, .git nur 304K, kein LFS). **Fazit: Clean. Keine Secrets in Code, Historie, APKs oder CI-Logs. Issue erfüllt.**
Sign in to join this conversation.
No Branch/Tag specified
Branches Tags
master
feature/done-mode-setting
feature/gesture-disambiguation
dev
stable
v0.3.2
v0.3.1
v0.3.0
v0.2.3
v0.2.2
v0.2.1
v0.2.0
v0.2.0-dev.1
v0.1.0
Labels
Clear labels
No items
No labels
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set

Reference
dennis/foodbridge-app#1
No description provided.