Codex Security：运行一次标准安全扫描

适用场景

这篇手册适合已经安装 Codex Security plugin，并想对仓库做一次标准安全检查的用户。标准扫描适合发现常见代码安全问题，并把结果整理成可继续处理的 findings。

OpenAI 官方 Run a Codex Security scan 页面介绍了该流程。具体命令和界面入口应以当前官方页面和产品版本为准。

步骤 1：先确定扫描目标

不要一开始就扫描所有东西。先确定目标。

常见目标：

• 当前分支。
• 一个 PR。
• 最近修改的安全敏感模块。
• 发布前的候选版本。
• 新接入 Codex Security 的仓库。

如果仓库很大，先从高风险目录开始，例如认证、权限、上传、支付、Webhook、API 边界和数据访问层。

步骤 2：写清扫描边界

可以在任务里说明：

请使用 Codex Security plugin 对当前仓库运行标准安全扫描。
重点关注认证、权限、输入校验和敏感信息处理。
不要修改代码，只输出 findings 和建议下一步。

如果只扫描 PR：

请只审查本次 PR 的代码变更，不要扩大到全仓库历史问题。

边界越清楚，结果越容易处理。

步骤 3：先只读运行扫描

安全扫描阶段建议只读。

不要同时要求 Codex：

• 扫描。
• 修复。
• 提交。
• 更新 issue。
• 改配置。

先拿到 findings，再决定处理方式。这样能避免它在证据不足时直接改代码。

步骤 4：阅读 findings 的四个维度

每条 finding 建议按四个维度看：

• 严重程度：是否可能造成权限绕过、数据泄露或远程执行。
• 可利用性：攻击者是否真的能触发。
• 影响范围：影响一个接口、一个用户，还是整个系统。
• 证据质量：是否有代码位置、调用链、输入路径和复现方式。

证据不足的 finding 不一定是误报，可能需要进一步验证。

步骤 5：决定下一步

常见下一步：

• 直接修复：证据明确、影响较高。
• 深度扫描：问题复杂或涉及跨模块路径。
• 人工确认：需要业务策略或部署上下文。
• 标记误报：证据不成立。
• 记录待办：影响较低但需要跟踪。

不要让扫描结果停留在聊天里，最好同步到 issue、PR 或安全 backlog。

常见错误

不要把扫描结果当作最终安全结论。它是起点，不是终点。

不要忽略中低风险问题。它们可能组合成更大风险。

不要在扫描任务中暴露生产密钥。

不要让 Codex 在未确认 findings 前直接批量修复。

小结

标准安全扫描的正确流程是：限定目标、只读扫描、阅读 findings、按风险 triage，再决定修复、深扫、验证或记录。这样才能把 Codex Security 的结果接入真实安全流程。