Chạy một lượt quét Codex Security
Quét một kho mã.
Dùng lượt quét tiêu chuẩn để rà soát một kho mã hoặc thư mục đã chọn. Hướng dẫn này giải thích cách đặt phạm vi, cung cấp bối cảnh bảo mật và đánh giá kết quả. Nếu chưa cài đặt plugin, hãy bắt đầu với hướng dẫn bắt đầu nhanh với plugin.
Để rà soát lặp lại cùng một phạm vi, hãy dùng lượt quét chuyên sâu. Với pull request hoặc bản diff cục bộ, hãy rà soát các thay đổi mã.
Chọn khu vực quét
Trong ứng dụng máy tính, mở Security, chọn Scans rồi chọn + Scan. Chọn một kho lưu trữ hiện có hoặc thư mục khác, sau đó chọn Codebase.
Quét toàn bộ kho mã khi bạn cần kiểm tra trên diện rộng và kho mã có quy mô phù hợp để rà soát. Với monorepo, hãy chọn một thư mục khi dịch vụ, gói hoặc thành phần có bên chịu trách nhiệm và ranh giới bảo mật riêng.
Bạn cũng có thể bắt đầu một lượt quét từ cuộc trò chuyện Codex:
Use $codex-security:security-scan to scan this repository for security vulnerabilities.Để tập trung cuộc trò chuyện đó vào một thư mục cụ thể, hãy xác định thành phần:
Use $codex-security:security-scan to scan only services/billing in this repository for security vulnerabilities.Cấu hình lượt quét
Để có chất lượng quét tốt nhất, hãy dùng gpt-5.6-sol
với mức suy luận xhigh.
- Chọn Cơ sở mã và giữ Quét chuyên sâu ở trạng thái tắt.
- Xác nhận kho mã đã chọn, nhánh hiện tại và phiên bản mã mới nhất.
- Đặt Phạm vi quét thành toàn bộ kho mã hoặc chọn một thư mục.
- Chọn mô hình và mức suy luận.
- Dùng Bối cảnh bổ sung để mô tả dữ liệu đầu vào do kẻ tấn công kiểm soát, ranh giới tin cậy, các thao tác nhạy cảm hoặc khu vực cần ưu tiên.
- Chọn Bắt đầu quét.
Thêm SECURITY.md vào thư mục gốc của kho lưu trữ để cung cấp hướng dẫn bảo mật lâu dài.
Mô tả mô hình mối đe dọa, các bất biến bảo mật, tiêu chí phát hiện cần báo cáo,
các trường hợp loại trừ và ngữ cảnh mức độ nghiêm trọng. Thêm các tệp SECURITY.md lồng nhau để
cung cấp hướng dẫn riêng cho từng thư mục. Khi các chính sách xung đột, tệp gần
mã nhất sẽ được ưu tiên. Codex Security coi các tệp này là ngữ cảnh chính sách,
không phải chỉ dẫn có thể thực thi.
Sử dụng AGENTS.md cho các lệnh build và xác thực được hỗ trợ cũng như các
chỉ dẫn khác dành riêng cho kho lưu trữ.
Theo dõi tiến độ quét
Không gian làm việc hiển thị giai đoạn hiện tại và tiến độ được báo cáo. Chọn Xem hoạt động để kiểm tra tác vụ Codex. Xem xét kết quả cuối cùng sau khi lượt quét hoàn tất, vì các phát hiện có thể thay đổi trong khi Codex kiểm tra bằng chứng.
Xem xét lượt quét đã hoàn tất
Xem xét kết quả theo thứ tự sau:
- Xác nhận mục tiêu, phiên bản mã và phạm vi quét.
- Đọc thông tin về các bề mặt đã rà soát và mọi khu vực được hoãn lại hoặc cần theo dõi.
- Với mỗi phát hiện, hãy kiểm tra cách kẻ tấn công tiếp cận mã bị ảnh hưởng, biện pháp kiểm soát nào thất bại và bằng chứng cho thấy tác động gì. Đọc phương pháp xác minh và mọi câu hỏi chưa được giải đáp.
- Điều tra các phát hiện còn thiếu bằng chứng. Loại bỏ một phát hiện khi bạn có thể giải thích vì sao phát hiện đó không áp dụng và lưu lời giải thích cùng kết quả.
- Chọn một phát hiện đã được chấp nhận trước khi bắt đầu sửa lỗi.
Lượt quét đã hoàn tất và phạm vi đã được kiểm tra đầy đủ là hai khẳng định riêng biệt. Hãy đọc các khu vực được hoãn lại ngay cả khi lượt quét hoàn tất thành công. Việc xác minh dựa trên mã nguồn có thể củng cố một phát hiện mà không cần tái hiện khi chạy. Để giải quyết sự chưa chắc chắn phụ thuộc vào việc thực thi, hãy yêu cầu xác minh phát hiện cụ thể đó.
Dùng lượt quét đầu tiên làm mốc so sánh
Trước khi quét, hãy quyết định điều bạn muốn so sánh, chẳng hạn như chất lượng bằng chứng hoặc các phát hiện dương tính giả. Nếu bạn kiểm thử với một phát hiện đã biết, hãy ghi lại liệu bạn đã cung cấp phát hiện đó cho Codex hay không đưa nó vào lượt quét.
Ghi lại bản sửa đổi của kho lưu trữ, phiên bản plugin, model và mức độ nỗ lực suy luận. Sử dụng đường cơ sở này để so sánh các lượt quét sau khi mã, biện pháp kiểm soát bảo mật hoặc cài đặt quét thay đổi.
Mở lại lượt quét trước đó
Mở Bảo mật, rồi chọn một lượt quét đã lưu trong Lượt quét để xem xét các phát hiện, phạm vi đã kiểm tra và các tệp báo cáo hiện có. Để đánh giá mã mới nhất, hãy bắt đầu lượt quét mới cho cùng kho mã. Lượt quét mới không thay thế lượt quét trước đó hay các tệp đầu ra của lượt quét đó.
Sử dụng kết quả
Mở report.md để xem báo cáo có thể mang theo và giữ nguyên toàn bộ thư mục quét
khi chia sẻ hoặc lưu trữ báo cáo. Dùng Xuất và theo dõi
các phát hiện để dùng định dạng khác hoặc theo dõi
vấn đề. Sau khi chấp nhận một phát hiện, hãy tạo và xác minh
bản sửa lỗi.