セキュリティ検出結果を修正して検証する
検出事項に対するパッチを生成し、問題が修正されることを検証します。
証拠を受け入れた検出事項を 1 件選んで始めます。パッチを生成し、レビューしてから、変更後のコードで元の問題を検証します。パッチを生成または適用しただけでは、修正が検証されたことにはなりません。
デスクトップのワークベンチでは、パッチを生成しても選択したチェックアウトは変更されません。パッチを適用すると、そのチェックアウトが変更されます。検証ではパッチを確認し、証拠を記録しますが、検出事項は自動的にはクローズされません。
UI で検出結果を修正する
検出事項、または スキャン 内の完了したスキャンから、受け入れ済みの検出事項を開きます。証拠を確認してから、パッチ を使って修正を生成、レビュー、適用し、検証します。
パッチを生成する
検出結果を開き、Patch タブを選択して、Generate patch を選択します。 Codex は可能な場合に問題を検証または再現し、選択した checkout を変更せずにパッチ成果物を書き込みます。
提案された差分をレビューする
影響を受けるコードとテストを確認します。無関係なリファクタリングやセキュリティ制御の弱体化を伴わずに、変更が検出事項に対処していることを確認します。
パッチをローカルに適用する
差分に問題がないことを確認してから、パッチを適用 を選択します。Codex は生成したパッチをそのまま作業ツリーに適用し、その状態を記録します。続行する前に、作業ツリーの差分をレビューします。
修正を検証する
修正を検証 を選択します。Codex は元の再現手順、または別の攻撃の成立を確認するチェックを再実行します。回帰テストを実行できる場合は、そのテストが修正前に失敗し、修正後に成功することを確認します。それ以外の場合は、検証できなかった点と、完了できたチェックを記録します。また、正常な動作、関連する回避手段、リポジトリのテストも確認します。
検出事項をクローズする
検証によって検出結果が自動的にクローズされることはありません。コマンド、結果、残っている証拠の不足をレビューしてから、正確な理由を付けて検出結果をクローズするか、追加作業のためにオープンのままにします。
会話で検出事項を修正する
インストール済みのプラグインを使い、スキャン、チケット、アドバイザリ、その他のレビューで得られた検出事項を修正します。検出事項の ID とレポートのパスに加え、再現手順や検証用のコマンドがあれば指定します。
Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you couldn't complete.これにより、チェックアウトの編集が許可されます。Codex はリポジトリを調べて不足している技術的な詳細を確認できますが、修正方法を選ぶ前に、意図するセキュリティポリシーについて説明を求める場合があります。
対話なしで修正を実行する
スキャンとパッチ生成を繰り返し実行するには、スタンドアロンの CLI の validate コマンドと patch コマンドを使用します。
インストール済みのプラグインを Codex CLI から呼び出すには、まずランナーの
CODEX_HOME に Codex Security をインストールします。新しいランナーには、デフォルトではマーケットプレイスのプラグインが含まれません。受け入れ済みの検出事項ごとに、個別のチェックアウトまたはジョブを使用します。
codex exec --sandbox workspace-write 'Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you could not complete.'書き込み可能なサンドボックスでは、ワークフローがソースとテストを編集できます。レビュー用にパッチと検証の証拠を保存してください。インストール、スキャンの設定、成果物の扱いについては、CI/CD でレビューを自動化するを参照してください。
検証後、通常のコードレビュープロセスに従って変更をマージします。検証が完了していない場合は、残りの作業を記録し、検出事項をオープンのままにします。