Perbaiki dan verifikasi temuan keamanan

Mulailah dengan satu temuan yang buktinya Anda terima. Buat patch, tinjau patch tersebut, dan verifikasi masalah awal terhadap kode yang telah diubah. Patch yang dibuat atau diterapkan belum merupakan perbaikan yang terverifikasi.

Di workbench desktop, pembuatan patch tidak mengubah checkout yang dipilih. Penerapan patch mengubah checkout tersebut. Verifikasi memeriksa patch dan mencatat bukti tanpa menutup temuan secara otomatis.

Perbaiki temuan di UI

Buka temuan yang telah diterima dari Temuan atau pemindaian yang selesai di Pemindaian. Tinjau buktinya, lalu gunakan Patch untuk membuat, meninjau, menerapkan, dan memverifikasi perbaikan.

1. Buat patch

   Buka temuan, pilih tab Patch, lalu pilih Generate patch. Codex memvalidasi atau mereproduksi masalah jika memungkinkan dan menulis artefak patch tanpa mengubah checkout yang dipilih.

2. Tinjau diff yang diusulkan

   Periksa kode dan pengujian yang terdampak. Pastikan perubahan tersebut mengatasi temuan tanpa refaktorisasi yang tidak terkait atau pelemahan kontrol keamanan.

3. Terapkan patch secara lokal

   Pilih Terapkan patch hanya setelah diff dapat diterima. Codex menerapkan patch yang persis sama dengan yang dihasilkan ke worktree dan mencatat status tersebut. Tinjau diff worktree sebelum melanjutkan.

4. Verifikasi perbaikan

   Pilih Verifikasi perbaikan. Codex menjalankan ulang reproduksi masalah asli atau pemeriksaan eksploitasi lainnya. Jika dapat menjalankan pengujian regresi, Codex memeriksa bahwa pengujian tersebut gagal sebelum perbaikan dan lulus setelahnya. Jika tidak, Codex mencatat bagian verifikasi yang belum terpenuhi dan pemeriksaan yang dapat diselesaikan. Codex juga memeriksa perilaku yang sah, cara lain untuk melewati perlindungan terkait, dan pengujian repositori.

5. Tutup temuan

   Verifikasi tidak menutup temuan secara otomatis. Tinjau perintah, hasil, dan kesenjangan pembuktian yang tersisa, lalu tutup temuan dengan alasan yang akurat atau biarkan tetap terbuka untuk pekerjaan lebih lanjut.

Perbaiki temuan dalam percakapan

Gunakan plugin yang terinstal untuk menangani temuan dari pemindaian, tiket, advisori, atau tinjauan lainnya. Berikan ID temuan dan jalur laporan, beserta reproduksi masalah atau perintah validasi jika tersedia:

Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you couldn't complete.

Ini memberikan izin untuk mengedit checkout. Codex dapat memeriksa repositori untuk mencari perincian teknis yang belum tersedia, tetapi mungkin memerlukan klarifikasi Anda tentang kebijakan keamanan yang dimaksud sebelum memilih perbaikan.

Jalankan remediasi tanpa interaksi

Untuk pemindaian dan pembuatan patch yang dapat diulang, gunakan perintah validate dan patch pada CLI mandiri.

Untuk memanggil plugin yang terinstal melalui Codex CLI, instal Codex Security di CODEX_HOME milik runner terlebih dahulu. Runner baru tidak menyertakan plugin marketplace secara default. Gunakan checkout atau job terpisah untuk setiap temuan yang telah diterima:

codex exec --sandbox workspace-write 'Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you could not complete.'

Sandbox yang dapat ditulisi memungkinkan alur kerja mengedit kode sumber dan pengujian. Simpan patch dan bukti verifikasi untuk ditinjau. Untuk instalasi, penyiapan pemindaian, dan penanganan artefak, lihat Otomatiskan tinjauan di CI/CD.

Setelah verifikasi, gabungkan perubahan melalui proses tinjauan kode yang biasa Anda gunakan. Jika verifikasi belum selesai, biarkan temuan tetap terbuka dengan mencatat pekerjaan yang tersisa.