Antes de começar

Siga o guia de início rápido da CLI para instalar e autenticar o Codex Security. Confirme que você tem acesso às varreduras de segurança e acesso via Git aos repositórios que são seus ou que você tem permissão para avaliar. As varreduras usam suas permissões locais e não param para pedir aprovação. Consulte as orientações sobre permissões de varredura.

Prepare o inventário de repositórios

Comece com poucos repositórios. Salve o exemplo abaixo como repositories.csv e substitua as URLs de exemplo e os valores provisórios dos commits:

id,repository,revision
payments,https://github.com/YOUR-ORG/payments.git,REPLACE_WITH_FULL_COMMIT_SHA
identity,https://github.com/YOUR-ORG/identity.git,REPLACE_WITH_FULL_COMMIT_SHA

Para cada repositório, informe um id exclusivo e o SHA completo do commit. Para obter o SHA a partir de uma cópia local do repositório, execute:

git -C /path/to/repository rev-parse HEAD

Cada varredura analisa o repositório inteiro no estado em que ele se encontra no commit indicado. Nomes de branches, hashes abreviados e alterações que ainda não foram incluídas em um commit ficam fora desse fluxo. Para limitar o escopo a determinadas pastas ou definir instruções específicas por repositório, consulte as opções do CSV.

Execute as varreduras

No diretório que contém repositories.csv, ajuste o caminho de saída para apontar para um diretório privado fora dos repositórios que serão analisados. Em seguida, execute:

npx @openai/codex-security bulk-scan repositories.csv \
  --output-dir /path/outside/repositories/security-scans \
  --workers 2 \
  --mode standard \
  --max-attempts 1 \
  --max-cost 5

Esse comando executa duas varreduras no modo padrão por vez, com uma tentativa por repositório. A opção --max-cost 5 interrompe cada tentativa quando o custo estimado dela ultrapassa US$ 5. O custo das operações já em andamento pode superar a estimativa, portanto esse valor não é um teto rígido nem um orçamento compartilhado por toda a execução. Defina esses valores antes de começar.

A CLI salva os resultados de cada repositório em uma pasta própria dentro de security-scans/artifacts/. Mantenha os resultados privados, pois podem conter trechos de código-fonte e detalhes sobre vulnerabilidades.

Revise os resultados

Abra o diretório de resultados e verifique os seguintes itens:

1. Inventário: Confira os repositórios e os commits em manifest.json.
2. Status: Consulte results.jsonl para verificar o status de cada tentativa e a localização dos respectivos artefatos.
3. Cobertura e achados: Na pasta de cada tentativa, consulte coverage.json para identificar lacunas e exclusões. Em seguida, consulte report.md e findings.json para examinar os achados e as evidências que os sustentam.

O código de saída 0 indica que as varreduras de todos os repositórios foram concluídas com sucesso. Isso não garante a ausência de vulnerabilidades. O código de saída 2 indica cobertura incompleta, falha na conclusão da varredura de um repositório ou erro de entrada ou de execução. Se a cobertura estiver incompleta, uma lista vazia de achados não comprova que o código é seguro.

Registre a próxima ação para cada repositório: investigar um achado, corrigir um achado aceito ou verificar as lacunas de cobertura. Ao encaminhar o trabalho à equipe responsável, indique o commit analisado e forneça as evidências que sustentam os achados.

Para retomar uma execução interrompida, repita o mesmo comando com o mesmo CSV, as mesmas instruções e o mesmo diretório de saída. A CLI pula as varreduras concluídas e não repete automaticamente aquelas cuja cobertura ficou incompleta. Use um novo diretório de saída se alterar o inventário, as revisões, os escopos, os modos ou as instruções. Para saber como recuperar uma execução, consulte as orientações sobre retomada e novas tentativas.