Codex 安全扫描开放 CLI 与 SDK

Codex Security 提供了 CLI、TypeScript SDK 和 GitHub Action 接入方式，让代码安全扫描可以进入终端和自动化流程。从给出的原文节选看，它覆盖仓库、指定路径和 Git 变更扫描，也支持验证候选漏洞、生成补丁和检查已有修复，串起发现问题后的处理步骤。

目前能确认什么

CLI 包名是 @openai/codex-security，安装并登录后，在仓库目录执行 cs scan . 即可发起扫描。通过 --path 可以限定目录，--diff origin/main 则扫描指定基准到 HEAD 的已提交变更。

Deep 模式会重复执行 Standard 扫描，再返回去重后的发现。节选没有提供两种模式的检出率对比，不能据此认定 Deep 能找到所有遗漏。

扫描完成后会保存报告和发现，报告包含源码证据与排除范围。结果可以导出为 SARIF、JSON、CSV；其中 SARIF 是用于交换静态分析结果的通用格式，便于其他开发工具消费。

本地扫描不依赖 Cloud 连接，但部分安全请求和受保护发现需要 Trusted Access for Cyber。运行环境也有要求，包括指定范围的 Node.js 版本与 Python 3.10+。

我的判断

对程序员最实用的入口，是把 Git 变更扫描接入 CI，再对候选发现做验证，并检查修复是否有效。这能减少报告、代码修改和复查之间的手动衔接。

生成补丁之后，仍需要验证修复。

扫描范围也决定了报告该怎么读：一次扫描没有发现问题，不能直接推导出整个系统安全，尤其要看报告排除了哪些内容。

目前节选没有交代误报表现、具体费用、GitHub Action 的权限配置，以及补丁验证覆盖哪些测试。接入 CI 前，我会先确认这些边界，再决定扫描作为提示运行，还是参与合并门禁。