APIキーを伏せて確認するはずの一行が、キー全体を表示した

何が起きたか

AIコーディングエージェントとシェル上で作業している最中、「このAPIキーは 設定されているか？」を確認するつもりで ${VAR:+設定あり}${VAR:-未設定} という式を書いた。出力されたのはキーそのものだった。

現場の混乱

一見して問題なさそうに見え、「テスト」は通ったように見えた——出力の見た目には エラーらしきものは何もなかった。この漏えいは自動チェックでは捕まらず、 実際にターミナルの出力を目で見た人によって発見された。

原因

${VAR:-代替値} は、VARが未設定または空のときにだけ代替値を返す。 VARが設定されている場合は、VARの実際の値そのものに展開される—— プレースホルダーでも、伏せられたバージョンでもなく、値そのものである。 この式は逆の挙動を期待して書かれていた。つまり、常にステータスを示す 単語だけが表示され、確認対象の秘密情報そのものは決して表示されない、 という思い込みである。

対策

有無の確認には [[ -n "$VAR" ]] && echo あり || echo なし を使う—— これは変数を出力に展開することが決してない。完全に晒さずに識別したい 場合は、長さ(${#VAR})か、UIが通常表示する粒度に合わせた末尾の短い 切り出し(${VAR: -4})を使う。秘密情報に触れるシェル式を実行する前には 必ず一度読み返し、『どんな条件でこれは値を出力するか』を直接問う。