Corriger et vérifier les constats de sécurité

Commencez par un constat dont vous acceptez les preuves. Générez un correctif, examinez-le et vérifiez le problème initial sur le code modifié. Un correctif généré ou appliqué n’est pas encore une correction vérifiée.

Dans l’atelier de l’application de bureau, la génération laisse la copie de travail sélectionnée inchangée. L’application du correctif modifie cette copie de travail. La vérification contrôle le correctif et consigne les preuves sans clôturer automatiquement le signalement.

Corriger un constat dans l’interface utilisateur

Ouvrez un signalement accepté depuis Signalements ou une analyse terminée dans Analyses. Examinez ses preuves, puis utilisez Correctif pour générer, examiner, appliquer et vérifier une correction.

1. Générez un correctif

   Ouvrez le constat, sélectionnez l’onglet Patch, puis Generate patch. Codex valide ou reproduit le problème lorsque cela est possible et crée un artefact de correctif sans modifier le checkout sélectionné.

2. Examinez le diff proposé

   Vérifiez le code et les tests concernés. Confirmez que la modification résout le signalement sans refactorisation sans rapport ni affaiblissement des contrôles de sécurité.

3. Appliquez le correctif localement

   Sélectionnez Appliquer le correctif uniquement lorsque le diff est acceptable. Codex applique le correctif généré à l’identique au worktree et consigne cet état. Examinez le diff du worktree avant de continuer.

4. Vérifiez le correctif

   Sélectionnez Vérifier la correction. Codex réexécute la procédure de reproduction initiale ou un autre contrôle d’exploitation. Lorsqu’il peut exécuter un test de non-régression, il vérifie que ce test échoue avant la correction et réussit après. Sinon, il consigne les lacunes de vérification et les contrôles qu’il a pu effectuer. Il vérifie également les comportements légitimes, les possibilités de contournement connexes et les tests du dépôt.

5. Clôturez le signalement

   La vérification ne clôture pas automatiquement un constat. Examinez les commandes, les résultats et les lacunes restantes dans les preuves, puis clôturez le constat en indiquant un motif exact, ou laissez-le ouvert pour poursuivre le travail.

Corriger un signalement dans une conversation

Utilisez le plugin installé avec un signalement issu d’une analyse, d’un ticket, d’un avis de sécurité ou d’une autre revue. Fournissez l’identifiant du signalement et le chemin du rapport, ainsi qu’une procédure de reproduction ou une commande de validation si vous en disposez :

Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you couldn't complete.

Cela autorise les modifications de la copie de travail. Codex peut examiner le dépôt pour retrouver les détails techniques manquants, mais peut avoir besoin que vous précisiez la politique de sécurité souhaitée avant de choisir une correction.

Exécuter la remédiation sans interaction

Pour des analyses et une génération de correctifs reproductibles, utilisez les commandes de validation et de génération de correctifs de la CLI autonome.

Pour appeler le plugin installé via Codex CLI, installez d’abord Codex Security dans le CODEX_HOME du runner. Un runner neuf n’inclut pas les plugins de la marketplace par défaut. Utilisez une copie de travail ou une tâche distincte pour chaque signalement accepté :

codex exec --sandbox workspace-write 'Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you could not complete.'

Le bac à sable accessible en écriture permet au workflow de modifier le code source et les tests. Conservez le correctif et les preuves de vérification pour la revue. Pour l’installation, la configuration des analyses et la gestion des artefacts, consultez Automatiser les revues dans CI/CD.

Après la vérification, fusionnez la modification selon votre processus habituel de revue de code. Si la vérification est incomplète, laissez le signalement ouvert en indiquant le travail restant.