セキュリティの指摘事項の修正と検証

まず、根拠を確認して妥当と判断した指摘事項を 1 件選びます。パッチを生成して差分をレビューし、変更後のコードで元の問題が解消されたかを検証します。パッチを生成または適用した段階では、修正の効果はまだ確認できていません。

デスクトップのワークベンチでは、パッチを生成しても、選択したチェックアウトに変更は加わりません。パッチを適用すると、そのチェックアウトに変更が反映されます。検証ではパッチの効果を確認し、その根拠を記録します。指摘事項が自動的にクローズされることはありません。

UI での指摘事項の修正

Findings または Scans 内の完了済みスキャンから、妥当と判断した指摘事項を開きます。指摘の根拠を確認してから、Patch で修正パッチの生成、レビュー、適用、検証を順に行います。

会話での指摘事項の修正

スキャン、チケット、セキュリティアドバイザリ、その他のレビューで報告された指摘事項には、インストール済みのプラグインを使用できます。指摘事項の ID とレポートのパスを指定し、再現手順や検証用コマンドがあれば、それも伝えます。

$codex-security:fix-finding を使って、<report-path> に記載された指摘事項 <finding-id> に対応してください。このチェックアウトで指摘された問題が発生するかを確認してから修正してください。修正後は、元の不具合が再現しないことと、正規の利用時に期待どおりに動作することをテストしてください。完了できなかった検証項目があれば、すべて記録してください。

この指示により、Codex にチェックアウトの編集を許可します。Codex はリポジトリを調べて不足している技術情報を補えますが、修正方法を選ぶ前に、意図したセキュリティポリシーについて説明を求める場合があります。

対話なしでの修正の実行

スキャンとパッチ生成を同じ手順で繰り返すには、スタンドアロン CLI の validate コマンドと patch コマンドを使用します。

インストール済みのプラグインを Codex CLI から呼び出すには、まずランナーの CODEX_HOME に Codex Security をインストールします。新しいランナーには、デフォルトではマーケットプレイスのプラグインは含まれていません。妥当と判断した指摘事項ごとに、個別のチェックアウトまたはジョブを使用します。

codex exec --sandbox workspace-write '$codex-security:fix-finding を使って、<report-path> に記載された指摘事項 <finding-id> に対応してください。このチェックアウトで指摘された問題が発生するかを確認してから修正してください。修正後は、元の不具合が再現しないことと、正規の利用時に期待どおりに動作することをテストしてください。完了できなかった検証項目があれば、すべて記録してください。'

書き込み可能なサンドボックスでは、ワークフローからソースコードとテストを編集できます。レビューに備えて、パッチと検証の根拠となる記録を保存します。インストール、スキャンの設定、成果物の取り扱いについては、CI/CD でのレビューの自動化を参照してください。

検証が完了したら、通常のコードレビュー手順に従って変更をマージします。検証が完了していない場合は、残っている作業を記録し、指摘事項をオープンのままにします。