匯出並跟蹤安全發現

使用已完成的 Codex Security 掃描作為以下兩種交接方式的來源：

• 匯出 建立可移植的 JSON、CSV 或 SARIF 檔案。
• 跟蹤發現 將所選發現準備為 Linear、GitHub 或 Jira 議題， 或一份私有的 GitHub Security Advisory 草稿，檢查重複項，並 在寫入前等待你的核准。

這些工作流程不會修改已封存的掃描包。

匯出可移植產物

在桌面應用中，從 安全 > 掃描 開啟一項已完成的掃描。使用其中 可用的產物連結檢視 report.md、findings.json、 scan-manifest.json、coverage.json，或 SARIF 報告（如有）。

要建立其他受支援的格式，請讓 Codex 從 已完成的掃描中匯出發現，而不修改其已封存的掃描包：

Export the findings from [completed scan directory] as [JSON, CSV, or SARIF]. Do not modify the sealed scan bundle or upload its contents.

選擇適合目標用途的格式：

選擇 Markdown 報告，在設定的外部編輯器中開啟 report.md。

使用傳回的產物路徑。如果其他工具需要完整的掃描 上下文，請將原始 scan-manifest.json、findings.json 和 coverage.json 一同儲存。匯出不會將發現上傳到程式碼掃描 服務。

跟蹤所選發現

$codex-security:track-findings 工作流程接受來自同一次已封存掃描的一項已驗證發現，或 一批選定的發現（最多 25 項），用於 議題跟蹤。GitHub Security Advisory 草稿僅接受一項發現。一次 執行使用一個供應商和一個目標位置。

對於 Linear，可以傳送如下提示詞：

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for the Linear team [team] and project [project, if
any]. Check for duplicates and show me the exact issue title, body, metadata,
and destination. Do not create or update anything until I approve that payload.

對於 GitHub 議題，傳送：

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for GitHub repository [owner/repository]. Check open
and closed issues for duplicates and show me the exact issue title, body,
metadata, repository visibility, and authenticated transport. Do not create or
update anything until I approve that payload.

對於 Jira，傳送：

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for Jira project [project key] as [issue type].
Check for duplicates and show me the exact issue summary, description,
metadata, and destination. Do not create or update anything until I approve
that payload.

Jira 跟蹤需要 Codex 中的 Atlassian Rovo 外掛。複用議題 需要讀取權限；建立或更新議題需要讀寫權限。

對於私有的 GitHub Security Advisory 草稿，傳送：

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] as a private draft GitHub Security Advisory in
[owner/repository]. Verify the sealed source revision, repository, affected
paths, package metadata, and duplicate state. Show me the exact advisory
payload, authenticated GitHub CLI identity, and disclosure warnings. Do not
create anything until I approve that payload.

審查擬寫入的內容

1. 確認發現 ID 和指紋來自預期的已封存掃描。
2. 確認供應商、確切的 Linear 團隊、GitHub 儲存庫、Jira 專案或 公告儲存庫，以及目標位置當前的可見性。
3. 檢視重複項檢查結果：create、reuse、update 或 blocked。
4. 閱讀擬寫入的完整標題、正文、源程式碼位置和供應商 後設資料。移除目標位置 不應暴露的漏洞利用細節或內部證據。
5. 僅核准這份確切的內容。目標位置、可見性、發現 集合或正文發生變化時，必須重新預覽。

敏感發現應傳送到私有目標位置。在 內部或公開 GitHub 儲存庫中建立議題，需要明確的可見性警告， 並核准完整內容。應將公告草稿的描述視為 最終會公開的內容，在核准前移除憑據、私有證據和不必要的 漏洞利用細節。

在 Codex 對話中審查並核准外部操作。核准 不會在 Security 工作臺中建立單獨的議題或公告介面。

驗證已跟蹤的條目

核准後，Codex 會重新驗證已封存的來源、目標位置、存取權限和 重複項狀態。它會序列處理批次，並在首次出現不確定 結果時停止。只有在 Codex 回讀該確切議題， 並驗證其關聯識別符和內容後，建立、更新或複用才算完成。

將傳回的規範議題或公告 URL 與分診記錄一同儲存。 當負責人接受該條目並同意修復時，繼續修復並驗證發現。