對待辦發現進行分診
根據儲存庫審查現有安全發現，並安排後續工作的優先順序。
使用 $codex-security:triage-finding 根據當前儲存庫審查現有的安全發現。此工作流程執行唯讀靜態
分析：Codex 將每項發現視為未經證實的主張，並檢查儲存庫中的
證據，不會執行程式碼。
請在以待評估儲存庫為範圍的 Codex 專案中執行此 工作流程。Codex 必須能夠讀取儲存庫的源程式碼。Jira 和 Linear 連接器可以提供發現資料，而 GitHub 發現需要經過身份驗證的 GitHub REST 存取權限。兩者都不能替代對源程式碼的存取權限。
這與 $codex-security:validation 不同，後者可以建置或執行程式碼、
建立測試或概念驗證，或操作真實介面來
重現或證偽發現。使用分診對
現有待辦發現進行分類和排序。如果靜態證據無法確定結論，
而執行時證據可能解決疑問，則使用驗證。
選擇要分診的發現
你可以從以下來源提供一項或一組發現：
| 來源 | 需要提供的內容 | 要求 |
|---|---|---|
| 貼上或本機發現 | SARIF 結果、CVE 或 GHSA、安全公告、掃描器工單、漏洞賞金報告、Codex Security 發現產物，或用自然語言描述的漏洞主張。 | 無需連接器。 |
| Jira 或 Linear | 確切的安全或漏洞議題 URL 或識別符、Jira JQL，或 Linear 團隊、專案或搜尋短語。Codex 會在分診前取得所選議題的內容。 | 具有讀取權限的通過 Atlassian Rovo 連線的 Jira 或 Linear。 |
| GitHub | 一個儲存庫和一個發現來源：程式碼掃描、Dependabot 漏洞和惡意軟體、安全公告和私有漏洞報告，或所有來源。如果你未指定儲存庫，Codex 會使用當前 Codex 專案關聯的 GitHub 儲存庫（如有）。預設不包含 GitHub Issues。請提供具體議題，或明確要求包含 GitHub Issues。 |
經過身份驗證的 GitHub REST 存取方式，例如 gh auth token、GH_TOKEN 或 GITHUB_TOKEN，並具有讀取所選儲存庫和發現類型的權限。 |
Codex 按輸入順序為每項提供的發現保留一個結果，確保每項 來源發現都可追溯。它不會合併或丟棄看似 重複的發現。
執行唯讀分診
對於貼上的發現或本機產物，可以傳送如下提示詞：
Use $codex-security:triage-finding to triage these existing security findings against this repository:
[Paste the findings or provide the artifact path.]對於 Jira 或 Linear 議題，請明確議題集合，並保持來源系統 唯讀：
Use $codex-security:triage-finding to import and triage the security findings from [Jira or Linear issue URLs, identifiers, or query] against this repository.
Do not change the source issues.對於 GitHub 發現，請指定儲存庫和來源：
Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from [owner/repository] against this repository.要使用當前 Codex 專案關聯的 GitHub 儲存庫，只需指定 發現來源：
Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from GitHub against this repository. Use the GitHub repository attached to the current Codex project.Codex 會檢查當前源程式碼和適用的 SECURITY.md 策略，然後
為每項輸入發現傳回判定。它會記錄支援和
反對該主張的證據，以及尚未解決的問題。
檢視結果
| 判定 | 含義 |
|---|---|
confirmed |
儲存庫證據表明，在所述前提條件下，存在漏洞的路徑可達，且跨越了受支援的安全邊界。 |
not_actionable |
儲存庫證據排除了該主張，例如證實版本不受影響、路徑不可達、防護措施有效，或相關部分未隨產品交付。 |
needs_review |
儲存庫證據不足以作出判斷，因為所需資訊缺失、含糊不清，或依賴執行時、環境或策略。 |
根據排名決定優先修復哪些 confirmed 發現，以及優先
調查哪些 needs_review 發現。兩組分別排序。
結合受影響的程式碼和攻擊者所需的
前提條件閱讀判定理由。在按排名採取行動前，對照主張和所有未決問題
檢查證據。這裡的 confirmed 表示獲得靜態
儲存庫證據支援，而非通過執行應用程式重現。
Jira、Linear 和其他待辦記錄會保持不變，除非你在檢視分診結果後要求 Codex 更新它們。
後續步驟
confirmed：在人工接受該發現並同意修復後，使用$codex-security:fix-finding修復並 驗證它。分診會準備可直接用於提示詞的交接材料，但不會自動呼叫該技能。needs_review：如果執行程式碼可以填補證據缺口，使用$codex-security:validation在執行的程式碼上測試該發現。傳入 分診結果中的發現主張、受影響位置、前提條件、靜態證據和 證據缺口：
Use $codex-security:validation to dynamically validate finding [triage item ID or source ID] from the backlog triage result. Reproduce or disprove the finding, record what you tested, and list any remaining uncertainty.與分診不同，驗證可能會建置或執行程式碼、建立測試或 概念驗證，或操作真實介面。有關執行控制，請參閱 Codex 審批與 安全策略。
needs_review：如果發現依賴產品策略或部署 環境，請在修改程式碼前回答列出的未決問題。not_actionable：將證據與分診記錄一同儲存。Codex 不會 自動關閉或更新來源工單。- 要尋找所提供的待辦發現之外的漏洞，請執行安全 掃描。