修復並驗證安全發現

從一項你認可其證據的發現開始。生成補丁、 審查補丁，並對照修改後的程式碼驗證原始問題。生成 或應用補丁並不代表修復已通過驗證。

在桌面工作臺中，生成補丁會保持所選檢出目錄不變。 應用補丁會修改該檢出目錄。驗證會檢查補丁並 記錄證據，但不會自動關閉發現。

在 UI 中修復發現

從 發現 中或 掃描 中已完成的掃描裡開啟一項已接受的發現。 檢視其證據，然後使用 補丁 生成、審查、應用並驗證 修復。

1. 生成補丁

   開啟發現，選擇 補丁 選項卡，然後選擇 生成補丁。 Codex 會在可行時驗證或重現問題，並寫入補丁 產物，不會修改所選檢出目錄。

2. 審查建議的差異

   檢查受影響的程式碼和測試。確認改動解決了該 發現，且未引入無關重構或削弱安全控制。

3. 在本機應用補丁

   僅在差異可接受後選擇 應用補丁。Codex 會將 生成的補丁原樣應用到工作樹，並記錄該狀態。繼續前請審查 工作樹差異。

4. 驗證修復

   選擇 驗證修復。Codex 會重新執行原始重現程式或其他 漏洞利用檢查。如果可以執行迴歸測試，它會檢查測試是否 在修復前失敗、修復後通過。否則，它會記錄 驗證缺口及能夠完成的檢查。它還會檢查 正常行為、相關繞過方式和儲存庫測試。

5. 關閉發現

   驗證不會自動關閉發現。請審查命令、 結果和剩餘證據缺口，然後以準確的 原因關閉發現，或保持開啟狀態以繼續處理。

在對話中修復發現

使用已安裝的外掛處理掃描、工單、公告或其他 審查中的發現。提供發現 ID 和報告路徑；如果有重現程式或驗證 命令，也請一並提供：

Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you couldn't complete.

這會授權修改檢出目錄。Codex 可以檢查儲存庫以 補全缺失的技術細節，但在選擇修復方案前，可能需要你澄清預期的安全 策略。

無需互動地執行修復

對於可重複執行的掃描和補丁生成，請使用獨立 CLI 的驗證和補丁命令。

要通過 Codex CLI 呼叫已安裝的外掛，請先在 執行器的 CODEX_HOME 中安裝 Codex Security。全新執行器預設不包含市場 外掛。為每項已接受的發現使用獨立的檢出目錄或作業：

codex exec --sandbox workspace-write 'Use $codex-security:fix-finding to fix finding <finding-id> from <report-path>. Verify the issue against this checkout, fix it, and test the original failure and legitimate behavior. Record any verification you could not complete.'

可寫沙箱允許工作流程修改源程式碼和測試。請保留 補丁和驗證證據以供審查。有關安裝、掃描設定 和產物處理，請參閱在 CI/CD 中自動執行 審查。

驗證後，通過常規程式碼審查流程合併改動。 如果驗證尚未完成，請保持發現開啟，並註明剩餘工作。