# 公開中のサイトでCodex Securityの修正を検証する

コーディングアシスタントがコードを修正した後、デプロイされたサイトに問題がまだ見られるかをLockpickに確認させ、修正済み、未解決、判定不能のいずれかの結果を受け取ります。

Lockpickは、Codex Securityと連携します。両者は同じ問題の別々の半分を見ています。Codex Securityはあなたのソースコードを読み、それを修正します。Lockpickは、あなたのURLで実際にデプロイされているものを確認します。修正の後に残る問いは1つです。公開中のサイトに、まだ問題が見られるかどうか。その答えをLockpickが返します。

Lockpickは OpenAI と提携しておらず、OpenAI による推奨も受けていません。Codex Securityの名前は、LockpickがそれとともにCodex Securityと連携できることを説明するためだけに記載しています。

## 流れ

1. Codex Securityがあなたのコードで問題を見つけ、`codex-security patch` の後に修正を提案するか、適用します。
2. あなたが修正をサイトにデプロイします。
3. LockpickがデプロイされたURLを再度確認し、3つの状態のいずれかを返します。

## 再チェックで何を証明できるか

新しいスキャンは、以前のスキャンと比べられます。以前の各検出事項は、次のいずれかとして返されます。

* **修正済み。** Lockpickは同じリソースを再度読み取り、検出事項を観測しませんでした。これは、そのリソース1つについての判断であり、サイト全体の証明書ではありません。また、認証情報がローテーションされたことを証明するものでもありません。
* **未解決。** 検出事項がまだ観測されています。修正を期待していた場合は、LockpickがテストしたURLで、修正が実際に公開されているか確認してください。
* **判定不能。** サイトがスキャンをブロックした、レート制限をかけた、または深さが足りずに届かなかったため、今回は確認できませんでした。判定不能は、決して修正済みとはなりません。

Lockpickは、パッチがマージされたことやチケットが閉じられたことを理由に、何かを修正済みとすることは決してありません。報告するのは、公開中のサイトで観測した内容だけです。

## コーディングエージェントから行う

Lockpickをあなたのアシスタントに接続し（[Codex](/ja/docs/ai/codex)と[権限](/ja/docs/mcp/permissions)を参照）、修正の検証を依頼します。スキルパックの `lockpick-fix` スキルが、修正と再チェックの手順をアシスタントに案内します。

```text title="プロンプト"
I deployed the fix for the SSRF Codex Security found at /api/fetch. Use Lockpick to check the live URL again and tell me if it is fixed, still open or inconclusive.
```

## CLIから行う

再チェックには、そのサイトでスキャンを開始する権限と、Pulseへのアクセス権を持つCLIキーが必要です。Deepスキャンには、さらに所有の証明と承認が必要です。

公開記録（DNS）の検出事項の1つは、無料で読み直せます。その場合、評価は変わりません。

```bash title="DNSの再チェック"
lockpick recheck <scan-id> --dns <finding-id>
```

HTTPで到達できるものは、検出事項の深さに合わせて新しいスキャンが必要です。その場合、毎月の利用枠からスキャン1回分を使います。先に費用を確認してください。

```bash title="公開済みのHTTP検出事項を再チェック"
lockpick status
lockpick pulse <site>
lockpick compare <run-id>
```

`lockpick compare` は、以前の各検出事項について、同じ3つの状態を表示します。

## コードの検出事項を取り込む

Codex Securityのコードの検出事項を、Lockpickの公開中の検出事項と並べて見るには、あなたのマシン上で関連付けを行います。

```bash title="関連付け。データはマシンの外に出ません"
lockpick import findings.json --run <run-id>
```

このコマンドは、Codex Securityの `findings.json` またはSARIF 2.1.0ファイルを読み込みます。各コードの検出事項を、同じルートの公開中の検出事項と照合します。Lockpickが、そのルートがサインインせずに応答するのを観測していた場合は、確信度を上げます。既定では、コードの検出事項に関する情報がマシンの外に出ることはありません。明示的な `--upload` を指定した場合だけ、最小限の関連付けキー（ルートのパス、ルールID、重大度）を作成し、共有する前に、何が送られるかを正確に示します。