Codex Security CI/CD 概述

在 CI 中執行 Codex Security，審查拉取請求或合併請求中的變更，掃描預設分支，並保留發現的問題和覆蓋範圍資訊。有關工作流程、報告處理和強制執行選項，請參閱 CI 供應商對應的指南。

準備工作流程

執行掃描需要 Codex Security 存取權限。將 OpenAI API key 儲存到 CI 供應商的機密儲存中，命名為 CODEX_SECURITY_API_KEY，然後將其對映到掃描程序的 OPENAI_API_KEY 環境變數。

僅對你信任的儲存庫和變更執行掃描。掃描會使用執行器的本機權限，且不會暫停以等待核准。將無關憑據和部署步驟放在單獨的作業中。

使用已獲核准的 Daybreak 模型

如需通過 Trusted Access for Cyber 使用 Daybreak Blue，請將 GitHub Action 的 model 輸入設為 gpt-6-sol，並將 cyber-access-program 設為 daybreak_blue。如需直接使用 CLI 掃描，請使用 --model gpt-6-sol 和 --cyber-access-program daybreak_blue。

使用已啟用 Daybreak Blue 且有權存取所選模型的專案中的 API key。設定模型或存取計劃並不會授予存取權限。有關 設定可選的 Daybreak 存取權限，請參閱其中的 Action 設定說明。

選擇整合方式

新增 GitHub Actions 工作流程

按照 GitHub Actions 指南設定拉取請求檢查和定時儲存庫掃描。Codex Security Action 會安裝 CLI，儲存報告，並新增作業摘要和源程式碼註解。該指南涵蓋執行器設定、可選的 Daybreak 存取權限、SARIF 上傳和嚴重性策略的強制執行。

新增 GitLab CI/CD 流水線

按照 GitLab CI/CD 指南設定合併請求、預設分支和定時掃描。先使用僅執行掃描的流水線，再逐步採用報告處理、策略強制執行以及可選的經驗證修復。

使用其他 CI 系統

安裝公開發布的 @openai/codex-security 包並直接執行 CLI。使用 --auth api-key，選擇儲存庫掃描或差異掃描，並將輸出儲存到 Git 工作樹之外的私有目錄中。執行器必須提供 CLI 快速入門中列出的依賴項。

有關掃描選項、差異比較的修訂版本、報告格式、狀態和輸出目錄以及重試行為，請參閱 CLI 參考。

選擇嚴重性策略

先將結果僅用作參考。審查具有代表性的問題、掃描覆蓋範圍、費用和執行時間，再決定哪些結果應阻止合併。

同時評估發現的問題和掃描完整性。嚴重性策略會評估當前掃描中達到或超過所設定閾值的問題。儲存庫摘要中此前尚未解決的問題不會影響該策略。即使未報告任何問題，不完整的掃描也可能導致部分區域未經審查。

在 Action 的 action-v0.3.0 版本中，掃描完成表示所設定的分析生成了有效結果。範圍排除項、暫緩調查項及其他覆蓋範圍說明不會繞過嚴重性策略。掃描器錯誤和必需的報告生成錯誤會導致作業失敗。CLI 0.3.0 遇到輸入、執行、結果完整性或必需輸出方面的故障時，會傳回退出碼 2。評估結果時請檢視 coverage.json；掃描完成並不保證已發現所有漏洞。

按照 GitHub Actions 指南或 GitLab CI/CD 指南設定強制執行。如需直接整合 CLI，請參閱嚴重性策略強制執行和退出碼。