Sicherheitsbefunde beheben und verifizieren

Beginnen Sie mit einem Befund, dessen Nachweise Sie akzeptieren. Generieren Sie einen Patch, prüfen Sie ihn und verifizieren Sie das ursprüngliche Problem anhand des geänderten Codes. Ein generierter oder angewendeter Patch ist noch keine verifizierte Korrektur.

In der Desktop-Workbench bleibt der ausgewählte Checkout beim Generieren unverändert. Das Anwenden des Patches ändert diesen Checkout. Die Verifizierung prüft den Patch und hält Nachweise fest, ohne den Befund automatisch zu schließen.

Einen Befund in der Benutzeroberfläche beheben

Öffnen Sie einen akzeptierten Befund unter Befunde oder aus einem abgeschlossenen Scan unter Scans. Prüfen Sie die Nachweise und verwenden Sie dann Patch, um eine Korrektur zu generieren, zu prüfen, anzuwenden und zu verifizieren.

1. Einen Patch generieren

   Öffnen Sie den Befund, wählen Sie die Registerkarte Patch und anschließend Generate patch aus. Codex validiert oder reproduziert das Problem, sofern dies möglich ist, und erstellt ein Patch- Artefakt, ohne den ausgewählten Checkout zu verändern.

2. Den vorgeschlagenen Diff prüfen

   Prüfen Sie den betroffenen Code und die Tests. Stellen Sie sicher, dass die Änderung den Befund behebt, ohne sachfremde Refaktorierungen vorzunehmen oder Sicherheitskontrollen abzuschwächen.

3. Den Patch lokal anwenden

   Wählen Sie Patch anwenden erst aus, wenn der Diff akzeptabel ist. Codex wendet den exakt generierten Patch auf das Arbeitsverzeichnis an und protokolliert diesen Zustand. Prüfen Sie den Diff des Arbeitsverzeichnisses, bevor Sie fortfahren.

4. Die Behebung verifizieren

   Wählen Sie Korrektur verifizieren. Codex führt das ursprüngliche Reproduktionsverfahren oder eine andere Exploit-Prüfung erneut aus. Wenn ein Regressionstest ausgeführt werden kann, prüft Codex, ob dieser vor der Korrektur fehlschlägt und danach erfolgreich ist. Andernfalls dokumentiert Codex die Verifizierungslücke und die Prüfungen, die abgeschlossen werden konnten. Außerdem prüft Codex das legitime Verhalten, ähnliche Umgehungsmöglichkeiten und die Repository-Tests.

5. Den Befund schließen

   Durch die Verifizierung wird ein Befund nicht automatisch geschlossen. Prüfen Sie die Befehle, Ergebnisse und die verbleibende Nachweislücke. Schließen Sie den Befund anschließend mit einer zutreffenden Begründung oder lassen Sie ihn für weitere Arbeiten geöffnet.

Einen Befund in einer Unterhaltung beheben

Verwenden Sie das installierte Plugin mit einem Befund aus einem Scan, Ticket, Sicherheitshinweis oder einer anderen Prüfung. Geben Sie die Befund-ID und den Berichtspfad sowie, falls vorhanden, ein Reproduktionsverfahren oder einen Validierungsbefehl an:

Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you couldn't complete.

Damit autorisieren Sie Änderungen am Checkout. Codex kann das Repository auf fehlende technische Details untersuchen, benötigt aber möglicherweise eine Klarstellung der vorgesehenen Sicherheitsrichtlinie von Ihnen, bevor es eine Korrektur auswählt.

Behebung ohne Interaktion ausführen

Für wiederholbare Scans und die Patch-Generierung verwenden Sie die eigenständigen CLI-Befehle zum Validieren und Patchen.

Um das installierte Plugin über Codex CLI aufzurufen, installieren Sie Codex Security zunächst in CODEX_HOME des Runners. Ein neu eingerichteter Runner enthält standardmäßig keine Marketplace- Plugins. Verwenden Sie für jeden akzeptierten Befund einen separaten Checkout oder Job:

codex exec --sandbox workspace-write 'Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you could not complete.'

Die beschreibbare Sandbox ermöglicht es dem Workflow, Quellcode und Tests zu bearbeiten. Bewahren Sie den Patch und die Verifizierungsnachweise zur Prüfung auf. Informationen zu Installation, Scan-Einrichtung und Umgang mit Artefakten finden Sie unter Prüfungen in CI/CD automatisieren.

Führen Sie die Änderung nach der Verifizierung über Ihren üblichen Code-Review-Prozess zusammen. Wenn die Verifizierung unvollständig ist, lassen Sie den Befund mit den verbleibenden Aufgaben offen.