运行 Codex Security 扫描

运行 Codex Security 扫描

使用 Codex Security plugin 对仓库或限定文件夹运行标准安全扫描，配置扫描范围，理解威胁建模、发现搜索、验证、攻击路径分析和最终报告阶段，并评审发现工作区产物、证据质量、风险排序、误报处理、修复入口、复核重点、报告交接、范围取舍、团队下一步处理建议、交付节奏、责任分工和复查安排。

运行 Codex Security 扫描#

Codex 中文站说明： 本页围绕“运行 Codex Security 扫描”重新补充了中文使用场景和验证重点。界面名称可能随 Codex 版本更新，请以当前客户端为准。

扫描一个已授权仓库或一个限定文件夹，并评审发现结果、覆盖范围和产物。

第一次评审以及多数日常仓库或组件评估，都适合使用 Codex Security 扫描。它会完整运行一次扫描工作流。

当你对结果满意后，可以运行深度扫描，获得更全面的评估。深度扫描耗时更长，但覆盖更彻底。

选择扫描范围#

当你需要广覆盖，并且整个仓库本身就是合理的评审单元时，扫描整个仓库：

text
Use $codex-security:security-scan to scan this repository for security vulnerabilities.

当单仓多项目仓库（monorepo）太大，或某个服务、package、组件有明确的负责人和安全边界时，扫描某个文件夹：

text
Use $codex-security:security-scan to scan this repository for security vulnerabilities, focusing on the services/billing component.

对于大型单仓多项目仓库，先从一个有意义的产品或服务边界开始。

配置扫描#

  1. 确认 Scan type 是 Codebase，并保持 Deep scan 关闭。
  2. 确认 Codebase、Current branch 和 Last commit。
  3. 将 Scan area 设为 Entire codebase，或输入一个相对于仓库的文件夹。
  4. 只有当威胁模型指导信息会改变评审时才添加它。有用的指导信息会说明攻击者可控输入、信任边界、敏感操作，或需要优先关注的具体区域。
  5. 选择 Start scan。

如需持久保存仓库级安全指导，请在仓库根目录添加 SECURITY.md。用它描述威胁模型、安全不变量、可报告发现标准、排除项和严重性上下文。目录级指导可以继续添加嵌套的 SECURITY.md。当策略冲突时，距离代码最近的文件优先。Codex Security 会把这些内容作为策略上下文，而不是可执行指令。

AGENTS.md 则用于记录支持的构建和验证命令，以及其他仓库专用指令。

等待各阶段完成#

扫描会按顺序运行这些阶段：

  1. 威胁建模：识别资产、入口点、信任边界和安全不变量。
  2. 发现搜索：在请求的代码范围内寻找可能失效的控制和 source-to-sink 路径。
  3. 验证：测试或以其他方式检查每个候选发现，并记录证据或证据缺口。
  4. 攻击路径分析：评估现实可达性、影响和严重性。
  5. 详细报告：为每项需报告发现生成一份有来源证据支撑的漏洞报告；有可用材料时还会包含 PoC 文件。
  6. 结构性加固：分析完整发现集合，并在仍有需报告发现时创建设计方案集。
  7. 最终化：校验结构化扫描契约，并生成 report.md，其中会链接详细报告和加固方案集。

扫描运行时，Codex 会报告阶段和覆盖进度。不要根据早期候选发现判断结果，也不要因为某个阶段比另一个阶段耗时更久就停止扫描。

评审已完成的扫描#

按这个顺序评审结果：

  1. 确认目标、revision 和扫描范围。
  2. 阅读已评审的代码区域，以及每个明确延后或需要跟进的区域。
  3. 对每个发现，检查根控制点或 sink、攻击者可控输入、验证方法、剩余不确定性、现实可达性、严重性理由和建议修复。
  4. 如果证据不支持声称的路径或影响，就驳回该发现。
  5. 开始修复前，先选择一个已接受的发现。

OWASP Juice Shop 的 Codex Security 发现工作区已完成扫描

完成后的工作区会先汇总扫描状态、覆盖范围、严重性和产物，再列出发现结果。

OWASP Juice Shop 中 Codex Security 发现结果的证据和攻击路径分析

一个发现会把相关来源与入口点、可达性、可能性、影响，以及任何限制或反证连接起来。

使用结果#

日常评审使用发现工作区（findings workspace）。它会展示发现结果、覆盖范围和后续区域，不需要你检查原始 JSON。请把 report.md 作为完整扫描目录的主要可读入口。共享或归档时保留完整目录，因为报告会链接 findings/ 下的详细报告，并在存在需报告发现时链接 hardening/ 下的结构性加固指导。

在工作区背后，每次扫描都会保留 scan-manifest.json、findings.json 和 coverage.json，用于自动化和集成。通常你不需要自己打开这些文件。

发现工作区也可以创建可携带的 JSON、CSV 和 SARIF 文件。参见导出或跟踪发现。

下一步#

当人工接受某项发现后，使用修复并验证发现生成并评审一个范围明确的 patch。不要让 Codex 在同一个聊天中修复一次扫描里的所有发现。

本站实践建议#

应用“运行 Codex Security 扫描”中的安全设置时，应从最小权限开始，再根据实际任务逐步开放。涉及网络、密钥、生产环境或删除操作时，仍应保留人工确认。

Codex API 与国内使用#

在实践“运行 Codex Security 扫描”相关功能时，如需为 Codex 配置 OpenAI-compatible API，可以前往 APIBest 获取 API Key。第三方服务的模型映射、价格、额度和数据处理方式以 APIBest 当前说明为准。