它是什么
Codex Security 是 OpenAI 推出的代码安全工具，由命令行程序 cs（即 codex-security）和一套 TypeScript SDK 组成。它的定位有别于传统静态扫描器：它借助 Codex 的推理能力，先找出可疑的漏洞点，再逐条核查、给出证据，最终生成补丁并验证修复是否有效。你可以把它当作 Codex 会话里的一个安全插件，也可以在终端里直接扫描仓库，或者在 CI、自动化流程中调用 SDK 与 GitHub Action 完成无人值守巡检。
核心功能
- 多范围扫描：支持扫描整个仓库、指定路径或 Git 变更（如从
origin/main到 HEAD 的差异），并提供 Standard 与 Deep 两档模式，Deep 会重复 Standard 的步骤并合并去重后的结果。 - 漏洞验证与修复闭环：对候选问题做二次验证，输出补丁，并可用于复核已有修复是否真正生效。
- 安全文档与威胁建模：自动草拟
SECURITY.md策略文件，保存威胁模型供后续评审复用。 - 报告与去重管理：浏览历史扫描与发现项，识别重复问题，按自定义评级标准判断严重程度，并结合源码与 Git 历史推荐负责人。
- 第三方与平台集成：可导入其他扫描器的结果，导出 SARIF、JSON、CSV，或同步到 Linear、Jira、GitHub，也可发布到 Codex Security Cloud。
- CI 与容器化：支持跨仓库、跨组件的批量扫描任务，可断点续跑，适合放进流水线。
适用场景
适合有一定规模代码库、想让安全审计更早介入的团队。典型用法包括：上线前的仓库体检、针对登录鉴权等敏感模块的重点排查、Pull Request 级别的增量扫描、以及在 CI 中对多仓库做定期巡检。也适合安全工程师把扫描结果接入现有的工单系统，形成“发现问题 → 派单 → 修复 → 复核”的闭环。
上手建议
环境要求为 Node.js 22.13.0+（22.x 系列）或 24.x、26.x，且需要 Python 3.10+；Python 3.10 还要额外装 tomli。全局安装后执行 cs login 登录，然后在仓库目录跑 cs scan . 即可，扫描结束会给出 Markdown 报告的路径，用 cs scans show 可回看最近一次完成的扫描。若短命令 cs 与其他工具冲突，或 npm 报 EEXIST，直接用 codex-security 或 npx @openai/codex-security 替代。
进阶技巧：用 --path 限定目录、用 --diff 只看改动、用 --max-time 给标准扫描设置时间上限，能显著降低成本和噪音。CI 场景下把 OPENAI_API_KEY 或 CODEX_API_KEY 写进环境变量；无图形界面的机器需要用设备码或 SSH 方式登录。另外建议先写好 SECURITY.md，让扫描有明确的规则依据，报告里的排除项与覆盖范围也要逐条看清，避免误判。
