匯出和跟蹤安全發現

可以把已完成的 Codex Security 掃描作為兩種交接流程的來源：

• Export 會建立可攜帶的 JSON、CSV 或 SARIF 檔案。
• Track findings 會把選中的發現準備為 Linear、GitHub 或 Jira issues，或一個 private draft GitHub Security Advisory；它會檢查重複項，並在寫入前等待你的核准。

這些工作流程不會修改封存的掃描包（sealed scan bundle）。

匯出可攜帶產物

在桌面 App 中，從 Security（安全） > Scans（掃描） 開啟一項已完成的掃描。使用可用產物連結檢查 report.md、findings.json、scan-manifest.json、coverage.json，以及存在時的 SARIF 報告。

要建立另一種受支援格式，請讓 Codex 從已完成掃描中匯出安全發現，且不修改封存的掃描包：

Export the findings from [completed scan directory] as [JSON, CSV, or SARIF]. Do not modify the sealed scan bundle or upload its contents.

選擇適合目標位置的格式：

選擇 Markdown report（Markdown 報告），可在設定的外部編輯器中開啟 report.md。

使用返回的產物路徑。如果其它工具需要完整掃描上下文，請把原始 scan-manifest.json、findings.json 和 coverage.json 放在一起保留。匯出不會把安全發現上傳到程式碼掃描服務。

跟蹤選中的發現

$codex-security:track-findings 工作流程接受一個已驗證發現，或一次封存掃描中最多 25 個明確選中的發現，用於 issue tracking。Draft GitHub Security Advisories 只接受一個發現。一次執行只使用一個提供方（provider）和一個目標位置（destination）。

對於 Linear，傳送類似提示詞：

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for the Linear team [team] and project [project, if
any]. Check for duplicates and show me the exact issue title, body, metadata,
and destination. Do not create or update anything until I approve that payload.

對於 GitHub issues，傳送：

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for GitHub repository [owner/repository]. Check open
and closed issues for duplicates and show me the exact issue title, body,
metadata, repository visibility, and authenticated transport. Do not create or
update anything until I approve that payload.

對於 Jira，傳送：

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for Jira project [project key] as [issue type].
Check for duplicates and show me the exact issue summary, description,
metadata, and destination. Do not create or update anything until I approve
that payload.

Jira tracking 需要 Codex 中的 Atlassian Rovo plugin。複用 issue 需要讀權限；建立或更新 issue 需要讀寫權限。

對於 private draft GitHub Security Advisory，傳送：

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] as a private draft GitHub Security Advisory in
[owner/repository]. Verify the sealed source revision, repository, affected
paths, package metadata, and duplicate state. Show me the exact advisory
payload, authenticated GitHub CLI identity, and disclosure warnings. Do not
create anything until I approve that payload.

審查建議寫入

1. 確認發現 ID 和 fingerprint 來自預期的封存掃描。
2. 確認提供方、精確 Linear team、GitHub repository、Jira project 或 advisory repository，以及即時目標可見性。
3. 審查重複項處理結果：create、reuse、update 或 blocked。
4. 閱讀完整的建議標題、正文、來源位置和提供方後設資料。移除目標位置不應暴露的利用細節或內部證據。
5. 只核准那個精確負載（payload）。只要目標位置、可見性、發現集合或正文發生變化，就需要重新預覽。

敏感發現應傳送到私有目標位置。在內部或公開 GitHub repository 中建立 issue，需要明確的可見性警告，並核准完整內容。請把 draft advisory description 當作最終可能公開的內容，在核准前移除憑據、私有證據和不必要的利用細節。

請在 Codex 對話中審查並核准外部操作。審批不會在 Security 工作臺中建立單獨的 issue 或 advisory 頁面。

驗證已跟蹤專案

核准後，Codex 會重新驗證封存來源、目標位置、存取權限和重複項狀態。它會序列處理批次，並在第一個不確定結果處停止。只有當 Codex 讀回對應的 issue，並驗證其繫結識別符號和內容後，create、update 或 reuse 才算完成。

請把返回的 issue 或 advisory 的 canonical URL 與分診記錄一起儲存。當負責人接受該專案並準備修復時，繼續閱讀修復並驗證發現。

來源：</zh-TW/docs/security/plugin/export-findings> 更新時間：2026-06-19（UTC）