Tổng quan về CI/CD của Codex Security

Chạy Codex Security trong CI để rà soát các thay đổi trong pull request hoặc merge request, quét nhánh mặc định và lưu giữ các phát hiện cùng thông tin về phạm vi quét. Xem hướng dẫn của nhà cung cấp CI để biết quy trình làm việc, cách xử lý báo cáo và các tùy chọn thực thi chính sách.

Chuẩn bị quy trình làm việc

Bạn cần có quyền truy cập Codex Security để chạy quét. Lưu OpenAI API key trong kho bí mật của nhà cung cấp CI với tên CODEX_SECURITY_API_KEY, rồi ánh xạ khóa này tới biến môi trường OPENAI_API_KEY của tiến trình quét.

Chỉ chạy quét đối với các kho mã và thay đổi mà bạn tin cậy. Quá trình quét sử dụng quyền cục bộ của runner và không tạm dừng để chờ phê duyệt. Đặt các thông tin xác thực không liên quan và các bước triển khai trong những tác vụ riêng biệt.

Sử dụng mô hình Daybreak đã được phê duyệt

Để truy cập Daybreak Blue thông qua Trusted Access for Cyber, đặt đầu vào model của GitHub Action thành gpt-6-sol và cyber-access-program thành daybreak_blue. Khi quét trực tiếp bằng CLI, hãy sử dụng --model gpt-6-sol và --cyber-access-program daybreak_blue.

Sử dụng API key từ một dự án đã bật Daybreak Blue và có quyền truy cập mô hình đã chọn. Việc thiết lập mô hình hoặc chương trình không cấp quyền truy cập. Xem Cấu hình quyền truy cập Daybreak tùy chọn để biết các thiết lập của Action.

Chọn một tích hợp

Thêm quy trình GitHub Actions

Sử dụng hướng dẫn GitHub Actions để kiểm tra pull request và quét kho mã theo lịch. Codex Security Action cài đặt CLI, lưu báo cáo, đồng thời thêm bản tóm tắt tác vụ và chú thích mã nguồn. Hướng dẫn bao gồm thiết lập runner, quyền truy cập Daybreak tùy chọn, tải lên SARIF và thực thi chính sách theo mức độ nghiêm trọng.

Thêm pipeline GitLab CI/CD

Sử dụng hướng dẫn GitLab CI/CD để quét merge request, nhánh mặc định và quét theo lịch. Bắt đầu với một pipeline chỉ thực hiện quét, sau đó áp dụng xử lý báo cáo, thực thi chính sách và tùy chọn khắc phục đã được xác minh.

Sử dụng một hệ thống CI khác

Cài đặt gói công khai @openai/codex-security và chạy CLI trực tiếp. Sử dụng --auth api-key, chọn quét kho mã hoặc phần khác biệt và lưu đầu ra vào một thư mục riêng tư bên ngoài worktree Git. Runner của bạn phải cung cấp các thành phần phụ thuộc được mô tả trong hướng dẫn bắt đầu nhanh với CLI.

Xem tài liệu tham khảo CLI để biết các tùy chọn quét, các phiên bản dùng để so sánh khác biệt, định dạng báo cáo, thư mục trạng thái và đầu ra, cùng hành vi thử lại.

Chọn chính sách mức độ nghiêm trọng

Bắt đầu với các kết quả mang tính tham khảo. Rà soát các phát hiện tiêu biểu, phạm vi quét, chi phí và thời gian chạy trước khi quyết định kết quả nào sẽ chặn việc hợp nhất.

Đánh giá cả các phát hiện lẫn mức độ hoàn tất của lần quét. Chính sách theo mức độ nghiêm trọng đánh giá các phát hiện từ lần quét hiện tại có mức độ bằng hoặc cao hơn ngưỡng đã cấu hình. Những phát hiện trước đó vẫn chưa được xử lý trong bản tóm tắt kho mã không ảnh hưởng đến chính sách này. Một lần quét chưa hoàn tất có thể khiến một số phần chưa được rà soát ngay cả khi báo cáo không có phát hiện nào.

Trong bản phát hành Action action-v0.3.0, một lần quét hoàn tất có nghĩa là quá trình phân tích đã cấu hình tạo ra một kết quả hợp lệ. Các phần bị loại khỏi phạm vi, các cuộc điều tra hoãn lại và những ghi chú khác về phạm vi quét không cho phép bỏ qua chính sách theo mức độ nghiêm trọng. Lỗi trình quét và lỗi báo cáo bắt buộc khiến tác vụ thất bại. CLI 0.3.0 trả về mã thoát 2 khi có lỗi đầu vào, thực thi, tính toàn vẹn của kết quả hoặc đầu ra bắt buộc. Rà soát coverage.json khi đánh giá kết quả; việc hoàn tất không chứng nhận rằng mọi lỗ hổng đều đã được tìm thấy.

Cấu hình việc thực thi chính sách trong hướng dẫn GitHub Actions hoặc hướng dẫn GitLab CI/CD. Đối với các tích hợp CLI trực tiếp, xem thực thi chính sách theo mức độ nghiêm trọng và mã thoát.