Security Review

Codex Security Review 面向 ChatGPT Enterprise、Business、Edu 和 Pro 客户提供，Plus 客户无法使用。安全审查会消耗套餐内含的 Codex 额度或 ChatGPT 点数。

使用 Security Review 检查 GitHub PR的 差异及相关代码中的安全问题。如果配置了威胁模型上下文或安全指导， 它会使用这些信息，并发布达到报告阈值的发现项。

代码评审 也可以在 常规审查中报告安全问题，因此两种审查可能报告相同的发现项。

开始前

要配置自动 Codex Security Review，你需要：

• 你的工作区拥有 Codex Security Review 访问权限
• 已设置 Codex 云端并连接 GitHub 仓库
• 拥有该仓库的 GitHub 推送权限或仓库设置的管理员权限

已有 Codex Security 扫描不是必需条件。

配置 Codex Security Review

仓库设置是共享的。更改这些设置会影响仓库 Review 策略选中的 PR，而不仅是你自己的PR。当仓库遵循个人 偏好设置时，你的个人偏好设置才会应用于你的PR。

1. 前往 Codex 设置并选择一个仓库。
2. 在 评审安全漏洞 下，开启 自动安全评审。
3. 使用 评审 选择哪些 PR 接受 Codex Security Review：
   • 遵循个人偏好 允许每位贡献者通过个人 Codex Security Review 设置选择启用。
   • 所有 PR 适用于仓库中的每个 PR。
   • 团队 PR（如果可用）适用于由 你的 ChatGPT 工作区成员发起的 PR，而非 GitHub 团队成员。
4. 使用 触发条件 选择何时运行 Codex Security Review：
   • 创建 PR 时 会在创建 PR 时独立运行。
   • 每次推送时 会在推送新提交后独立运行。
   • 每当代码评审运行时 需要启用 Code Review，并让 Codex Security Review 与其一同运行。

连接 GitHub 或为其他贡献者启用个人审查，并不会 为你的PR额外请求一次审查。仓库设置和个人设置 决定是否运行自动审查；不会为每位 已连接的用户分别创建一次审查。后续推送可根据触发条件 触发另一次审查， 你也可以手动请求额外的审查。

添加威胁模型上下文

你可以配置威胁模型，为 Codex 提供有关应用 资产、信任边界、安全假设以及仓库特定风险的上下文。 如果仓库已有 Codex Security 扫描配置，你可以使用 其中的威胁模型。否则，请提供已提交到 仓库的威胁模型文件路径。如果未指定来源，Codex 会为 每次评审重新生成威胁模型。

设置报告阈值

默认情况下，自动 Codex Security Review 会报告 高危（High） 和 严重（Critical） 发现，而手动请求的评审会报告 中危（Medium）、高危（High） 和 严重（Critical） 发现。你可以分别更改自动和手动评审的最低严重性级别， 并添加基于路径的覆盖规则。

发布到PR的发现项会继承该PR在 GitHub 上的 可见性。任何能查看PR的人都能查看这些发现项， 包括公共仓库中的PR，或由工作区以外的贡献者提交的 PR。报告阈值控制 Codex 向 GitHub 发布哪些内容。完整的 Codex Security Review 报告仍保留在 Codex 中。

请求 Codex Security Review

要手动请求 Codex Security Review，请在 PR 中添加以下评论：

@codex security review

审查运行期间，Codex 会添加表情回应，然后将符合你 手动审查报告阈值的发现项直接发布到PR。打开关联的 Codex 任务，选择安全报告 选项卡即可查看完整报告， 其中包括严重程度、攻击路径、支持证据、验证结果和 修复建议。如果没有问题达到报告阈值，Codex 就不会 向PR发布发现项。在将没有评论的结果解读为审查已完成且未发现问题之前， 请先检查任务状态和完整报告， 确认实际结果。

相关文档

• 使用 Codex 评审 GitHub PR介绍 Code Review 和 GitHub 集成。
• Codex Security介绍产品概览。
• Codex Security 云端设置介绍仓库扫描和发现评审。
• 改进威胁模型介绍如何优化仓库上下文。