Khắc phục và xác minh các phát hiện bảo mật

Bắt đầu với một phát hiện có bằng chứng mà bạn chấp nhận. Tạo bản vá, rà soát bản vá và xác minh vấn đề ban đầu trên mã đã thay đổi. Một bản vá được tạo hoặc áp dụng chưa phải là bản sửa lỗi đã được xác minh.

Trong giao diện làm việc trên máy tính, việc tạo bản vá không làm thay đổi bản checkout đã chọn. Áp dụng bản vá sẽ thay đổi bản checkout đó. Bước xác minh kiểm tra bản vá và ghi lại bằng chứng mà không tự động đóng phát hiện.

Sửa một phát hiện trong giao diện người dùng

Mở một phát hiện đã được chấp nhận từ Phát hiện hoặc một lượt quét đã hoàn tất trong Lượt quét. Xem xét bằng chứng của phát hiện đó, rồi dùng Bản vá để tạo, xem xét, áp dụng và xác minh bản sửa lỗi.

1. Tạo bản vá

   Mở phát hiện, chọn thẻ Patch, rồi chọn Generate patch. Codex xác thực hoặc tái hiện vấn đề khi khả thi và ghi một artifact bản vá mà không sửa đổi bản checkout đã chọn.

2. Rà soát diff được đề xuất

   Kiểm tra mã và các bài kiểm thử bị ảnh hưởng. Xác nhận rằng thay đổi xử lý được phát hiện mà không tái cấu trúc mã ngoài phạm vi hoặc làm suy yếu các biện pháp kiểm soát bảo mật.

3. Áp dụng bản vá cục bộ

   Chỉ chọn Áp dụng bản vá sau khi chấp nhận bản diff. Codex áp dụng chính xác bản vá đã tạo vào cây làm việc và ghi lại trạng thái đó. Xem xét bản diff của cây làm việc trước khi tiếp tục.

4. Xác minh bản sửa

   Chọn Xác minh bản sửa lỗi. Codex chạy lại quy trình tái hiện ban đầu hoặc một phép kiểm tra khai thác khác. Khi có thể chạy kiểm thử hồi quy, Codex kiểm tra xem bài kiểm thử có thất bại trước khi sửa và thành công sau khi sửa hay không. Nếu không, Codex ghi lại những phần chưa thể xác minh và các phép kiểm tra đã hoàn thành. Codex cũng kiểm tra hành vi hợp lệ, các cách vượt qua biện pháp bảo vệ liên quan và các bài kiểm thử của kho mã.

5. Đóng phát hiện

   Việc xác minh không tự động đóng phát hiện. Hãy rà soát các lệnh, kết quả và khoảng trống bằng chứng còn lại, sau đó đóng phát hiện với lý do chính xác hoặc giữ phát hiện ở trạng thái mở để tiếp tục xử lý.

Sửa một phát hiện trong cuộc trò chuyện

Dùng plugin đã cài đặt để xử lý một phát hiện từ lượt quét, phiếu yêu cầu, thông báo bảo mật hoặc một đợt rà soát khác. Cung cấp ID phát hiện và đường dẫn báo cáo, cùng quy trình tái hiện hoặc lệnh xác thực nếu có:

Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you couldn't complete.

Thao tác này cho phép chỉnh sửa bản checkout. Codex có thể kiểm tra kho mã để tìm các chi tiết kỹ thuật còn thiếu, nhưng có thể cần bạn làm rõ chính sách bảo mật mong muốn trước khi chọn cách sửa.

Chạy quy trình khắc phục không cần tương tác

Để quét và tạo bản vá theo quy trình có thể lặp lại, hãy dùng các lệnh validate và patch của CLI độc lập.

Để gọi plugin đã cài đặt qua Codex CLI, trước tiên hãy cài Codex Security vào CODEX_HOME của trình chạy. Trình chạy mới mặc định không có các plugin trên marketplace. Dùng một bản checkout hoặc tác vụ riêng cho từng phát hiện đã được chấp nhận:

codex exec --sandbox workspace-write 'Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you could not complete.'

Môi trường cô lập cho phép ghi giúp quy trình chỉnh sửa mã nguồn và các bài kiểm thử. Lưu giữ bản vá và bằng chứng xác minh để xem xét. Để biết cách cài đặt, thiết lập quét và xử lý tệp kết quả, xem Tự động hóa việc rà soát trong CI/CD.

Sau khi xác minh, hợp nhất thay đổi theo quy trình rà soát mã thông thường của bạn. Nếu chưa xác minh đầy đủ, giữ phát hiện ở trạng thái mở kèm phần việc còn lại.