執行 Codex Security 掃描

使用標準掃描審查儲存庫或選定的資料夾。本指南 介紹如何設定範圍、提供安全上下文並評估結果。 如果尚未安裝外掛，請先閱讀外掛 快速入門。

要反覆審查同一範圍，請使用深度 掃描。對於PR或本機差異， 請審查程式碼變更。

選擇掃描區域

在桌面應用中，開啟 Security，選擇掃描，再選擇 + 掃描。 選擇現有儲存庫或其他資料夾，然後選擇程式碼庫。

如果需要廣泛覆蓋，且儲存庫適合作為一個 審查單元，則掃描整個儲存庫。對於單體儲存庫，如果某個服務、 軟體包或元件有明確的負責人和安全邊界，則選擇其所在資料夾。

你也可以從 Codex 對話中啟動掃描：

Use $codex-security:security-scan to scan this repository for security vulnerabilities.

要讓該對話聚焦於特定資料夾，請指明元件：

Use $codex-security:security-scan to scan only services/billing in this repository for security vulnerabilities.

設定掃描

為獲得最佳掃描質量，請使用 gpt-5.6-sol， 並將推理強度設為 xhigh。

1. 選擇程式碼庫，並保持深度掃描 關閉。
2. 確認所選儲存庫、當前分支和最新修訂版本。
3. 將掃描區域 設為整個儲存庫，或選擇一個資料夾。
4. 選擇模型和推理強度。
5. 使用附加上下文 描述攻擊者可控的輸入、信任 邊界、敏感操作或需要優先關注的區域。
6. 選擇開始掃描。

在儲存庫根目錄新增 SECURITY.md，提供持久的安全指導。 描述威脅模型、安全不變數、應報告問題的判定標準、 排除項和嚴重程度上下文。新增巢狀的 SECURITY.md 檔案，提供 特定目錄的指導。當策略衝突時，最接近 程式碼的檔案優先。Codex Security 將這些檔案視為策略上下文， 而非可執行指令。

使用 AGENTS.md 提供支援的建置和驗證命令，以及其他 儲存庫專用指令。

跟蹤掃描進度

工作臺顯示當前階段和報告的進度。選擇檢視 活動 以檢視 Codex 任務。掃描 完成後再審查最終結果，因為 Codex 檢查證據期間，發現的問題可能發生變化。

審查已完成的掃描

按以下順序審查結果：

1. 確認目標、修訂版本和掃描區域。
2. 閱讀已審查的範圍，以及暫緩審查或需要後續跟進的區域。
3. 對於每個問題，檢查攻擊者如何觸及受影響的程式碼、哪個 控制措施失效，以及證據能夠支援什麼影響。閱讀驗證 方法和任何尚未解決的問題。
4. 調查缺少證據的問題。如果能夠 解釋某個問題為何不適用，可將其駁回，並在結果中保留該解釋。
5. 開始修復前，先選擇一個已確認的問題。

掃描完成和覆蓋完整是兩個不同的結論。即使掃描 成功完成，也要閱讀暫緩審查的區域。基於原始碼的驗證可以 支援某個問題成立，而不必在執行時重現。要消除 依賴執行才能解決的不確定性，請要求驗證該具體問題。

將首次掃描用作基線

掃描前，確定要比較的內容，例如證據質量 或誤報情況。如果你 使用已知問題進行測試，請記錄是否已將該問題提供給 Codex，還是 未向掃描透露該問題。

記錄儲存庫修訂版本、外掛版本、模型和推理強度。 在程式碼、安全控制措施或 掃描設定發生變化後，使用此基線比較後續掃描。

重新開啟以往的掃描

開啟 Security，然後從掃描 中選擇一個已儲存的掃描，檢視其 發現的問題、覆蓋範圍和可用的報告產物。要評估最新程式碼， 請對同一儲存庫啟動新掃描。新掃描不會替換 先前的掃描及其產物。

使用結果

開啟 report.md 取得便於共享的報告，共享或歸檔時請保留其掃描目錄 的完整內容。有關其他格式或問題 跟蹤，請參閱匯出並跟蹤 問題。確認問題後，請生成並驗證 修復。