codex-security

环境要求

• Node.js 22.13.0+（限 22.x），或 Node.js 24.x / 26.x
• Python 3.10+；若使用 Python 3.10 还需安装 tomli
• npm 全局可执行目录需在 PATH 中
• CI 环境需在扫描进程环境中设置 OPENAI_API_KEY 或 CODEX_API_KEY

安装与启动步骤

1. 1检查运行环境

   确认 Node 版本符合 22.13.0+（22.x）或 24.x / 26.x，并检查 Python 3.10+ 是否可用。

   node -v
   python3 --version

   复制

2. 2全局安装 CLI

   通过 npm 全局安装 @openai/codex-security，安装后会同时生成 cs 和 codex-security 两个命令。

   npm install --global @openai/codex-security

   复制

3. 3登录账号

   运行登录命令完成身份验证；远程或无头机器可用设备码登录方式。

   cs login

   复制

4. 4在仓库中扫描

   进入待扫描仓库目录后执行扫描，结果会保存报告、findings 与覆盖范围。

   cd /your/repo
   cs scan .

   复制

5. 5运行深度扫描

   深度模式会在仓库和选定路径上并行运行发现任务，耗时更长。

   cs scan . --mode deep

   复制

6. 6限制调查时长

   用 --max-time 指定建议的调查时长上限（示例为 15 分钟），便于控制单次扫描成本。

   cs scan . --max-time 15

   复制

7. 7免全局安装运行

   若不想全局安装，或全局命令冲突，可直接用 npx 调用同一 CLI。

   npx @openai/codex-security scan .

   复制

8. 8CI 中配置密钥

   在 CI 扫描进程环境中设置 API Key 后即可非交互运行，无需手动登录。

   export OPENAI_API_KEY=sk-xxxxxxxx
   cs scan .

   复制

关键配置

如何确认成功

执行 cs --help 能看到命令列表；scan 结束后可查看保存的报告、findings、覆盖范围与威胁模型。

常见问题

注意事项

• 全局安装要求 npm 的全局可执行目录位于 PATH 中，否则 cs 命令无法直接调用。
• 扫描会自动参考仓库已有的 SECURITY.md 指引，可先起草或更新该策略再扫描。
• 部分安全相关请求与受保护发现需要相应访问权限审批，无权限时相关能力不可用。
• CI 中务必用环境变量注入密钥，不要把密钥写进仓库文件。