Codex Security Scan ausführen

Beginnen Sie für eine erste Überprüfung oder eine routinemäßige Bewertung eines Repositorys oder einer Komponente mit einem standardmäßigen Codex Security Scan. Dabei wird der vollständige Scanworkflow einmal ausgeführt.

Überprüfen Sie für eine gründlichere Bewertung die Ergebnisse und führen Sie anschließend einen Tiefenscan aus. Tiefenscans dauern länger und suchen umfassender.

Scanbereich auswählen

Öffnen Sie in der Desktop-App Security, wählen Sie Scans und anschließend + Scan aus. Wählen Sie ein vorhandenes Repository oder einen anderen Ordner und anschließend Codebase aus.

Scannen Sie das gesamte Repository, wenn Sie eine breite Abdeckung benötigen und das Repository eine angemessene Überprüfungseinheit darstellt. Wählen Sie bei einem Monorepo einen einzelnen Ordner aus, wenn ein Dienst, Paket oder eine Komponente über eindeutige Verantwortlichkeiten und eine klare Sicherheitsgrenze verfügt.

Sie können einen Scan auch aus einer Codex-Unterhaltung starten:

Use $codex-security:security-scan to scan this repository for security vulnerabilities.

Geben Sie die Komponente an, um diese Unterhaltung auf einen bestimmten Ordner zu konzentrieren:

Use $codex-security:security-scan to scan this repository for security vulnerabilities, focusing on the services/billing component.

Scan konfigurieren

Verwenden Sie für die bestmögliche Scanqualität gpt-5.6-sol mit dem Reasoning-Aufwand xhigh.

1. Wählen Sie Codebase aus und lassen Sie Deep scan deaktiviert.
2. Bestätigen Sie das ausgewählte Repository, den aktuellen Branch und die neueste Revision.
3. Legen Sie Scan area auf das gesamte Repository fest oder wählen Sie einen Ordner aus.
4. Wählen Sie ein Modell und einen Reasoning-Aufwand aus.
5. Öffnen Sie Additional context nur, wenn dies die Überprüfung beeinflusst. Hilfreicher Kontext benennt durch Angreifer kontrollierte Eingaben, Vertrauensgrenzen, sensible Aktionen oder einen bestimmten Bereich, der priorisiert werden soll.
6. Wählen Sie Start scan aus.

Fügen Sie SECURITY.md zum Repository-Stammverzeichnis hinzu, um dauerhafte Sicherheitsrichtlinien bereitzustellen. Beschreiben Sie das Bedrohungsmodell, Sicherheitsinvarianten, Kriterien für meldepflichtige Befunde, Ausschlüsse und den Schweregradkontext. Fügen Sie verschachtelte SECURITY.md-Dateien für verzeichnisspezifische Richtlinien hinzu. Wenn Richtlinien einander widersprechen, hat die Datei Vorrang, die dem Code am nächsten liegt. Codex Security behandelt diese Dateien als Richtlinienkontext, nicht als ausführbare Anweisungen.

Verwenden Sie AGENTS.md für unterstützte Build- und Validierungsbefehle sowie andere Repository-spezifische Anweisungen.

Abschluss der Phasen abwarten

Ein Scan durchläuft diese Phasen der Reihe nach:

1. Bedrohungsmodellierung identifiziert Ressourcen, Einstiegspunkte, Vertrauensgrenzen und Sicherheitsinvarianten.
2. Befunderkennung überprüft den angeforderten Code auf plausible unwirksame Kontrollmechanismen und Pfade von Quellen zu Senken.
3. Validierung testet oder überprüft jeden Kandidaten auf andere Weise und zeichnet Belege oder Beleglücken auf.
4. Auswirkungs- und Pfadanalyse bewertet die realistischen Pfade, Auswirkungen und Schweregrade der einzelnen Kandidaten.
5. Berichterstellung zeichnet validierte Befunde, Abdeckung und Scanmetadaten auf. Detaillierte Berichte zu einzelnen Befunden sind bei Standardscans optional.
6. Strukturelle Härtung analysiert, sofern verfügbar, die Befundmenge und erstellt Architekturempfehlungen.
7. Abschluss validiert den strukturierten Scanvertrag und generiert report.md einschließlich Links zu allen detaillierten Berichten oder Härtungsempfehlungen.

Die Workbench zeigt die aktive Scanphase und sämtliche vom Plugin gemeldeten Fortschritte an. Wählen Sie View activity aus, um die Codex-Aufgabe zu untersuchen. Warten Sie das vollständige Ergebnis ab, anstatt frühe Kandidaten zu beurteilen oder den Scan abzubrechen, weil eine Phase länger dauert als eine andere.

Abgeschlossenen Scan überprüfen

Überprüfen Sie das Ergebnis in dieser Reihenfolge:

1. Bestätigen Sie Ziel, Revision und Scanbereich.
2. Lesen Sie die überprüften Bereiche sowie jeden ausdrücklich zurückgestellten Bereich und jeden Nachverfolgungsbereich.
3. Untersuchen Sie für jeden Befund den zugrunde liegenden Kontrollmechanismus oder die Senke, die durch Angreifer kontrollierte Eingabe, die Validierungsmethode, verbleibende Unsicherheiten, die realistische Erreichbarkeit, die Begründung des Schweregrads und die vorgeschlagene Behebung.
4. Verwerfen Sie Befunde, deren Belege den behaupteten Pfad oder die behaupteten Auswirkungen nicht stützen.
5. Wählen Sie einen akzeptierten Befund aus, bevor Sie mit einer Korrektur beginnen.

Früheren Scan erneut öffnen

Öffnen Sie Security und wählen Sie anschließend unter Scans einen gespeicherten Scan aus, um dessen Befunde, Abdeckung und verfügbare Berichtsartefakte zu überprüfen. Starten Sie für dasselbe Repository einen neuen Scan, um den neuesten Code zu bewerten. Der neue Scan ersetzt weder den früheren Scan noch dessen Artefakte.

Ergebnisse verwenden

Verwenden Sie die Security Workbench, um Befunde, Abdeckung und Nachverfolgungsbereiche zu überprüfen, ohne Roh-JSON untersuchen zu müssen. Öffnen Sie report.md, sofern verfügbar, als lesbaren Einstiegspunkt in das vollständige Scanverzeichnis. Bewahren Sie das Verzeichnis zusammenhängend auf, wenn Sie es teilen oder archivieren: Der Bericht verweist auf detaillierte Berichte in findings/ und auf Empfehlungen zur strukturellen Härtung in hardening/, sofern diese optionalen Artefakte verfügbar sind.

Im Hintergrund des Workspace bewahrt jeder Scan scan-manifest.json, findings.json und coverage.json für Automatisierung und Integrationen auf. Normalerweise müssen Sie diese Dateien nicht selbst öffnen.

Der Befund-Workspace kann auch portable JSON-, CSV- und SARIF-Dateien erstellen. Weitere Informationen finden Sie unter Befunde exportieren oder nachverfolgen.

Nächster Schritt

Nachdem eine Person einen Befund akzeptiert hat, verwenden Sie Einen Befund beheben und verifizieren, um einen einzelnen, klar abgegrenzten Patch zu generieren und zu überprüfen. Bitten Sie Codex nicht, in einer einzigen Unterhaltung sämtliche Befunde eines Scans zu beheben.