# 실제 사이트에서 Codex Security 수정 확인하기

코딩 도우미가 코드를 패치한 뒤, 배포된 사이트에 여전히 문제가 있는지 Lockpick에 물어보고 수정됨, 여전히 열려 있음, 판단 불가 중 하나를 받으세요.

Lockpick은 Codex Security와 함께 작동합니다. 두 도구는 같은 문제의 서로 다른 절반을 봅니다. Codex Security는 소스 코드를 읽고 패치합니다. Lockpick은 내 URL에 실제로 배포된 것을 확인합니다. 패치 후에는 질문이 하나 남습니다. 실제 사이트에 여전히 문제가 보이는가? Lockpick이 그 질문에 답합니다.

Lockpick은 OpenAI와 제휴하거나 OpenAI의 보증을 받지 않았습니다. 여기서 Codex Security를 언급하는 이유는 Lockpick이 그것과 함께 동작한다는 것을 설명하기 위해서입니다.

## 순환 과정

1. Codex Security가 코드에서 문제를 찾고, `codex-security patch` 후에 수정을 제안하거나 적용합니다.
2. 수정 사항을 사이트에 배포합니다.
3. Lockpick이 배포된 URL을 다시 확인하고 세 가지 상태 중 하나를 반환합니다.

## 다시 검사로 증명할 수 있는 것

새 스캔은 이전 스캔과 비교됩니다. 이전 문제는 각각 다음 중 하나로 돌아옵니다.

* **수정됨.** Lockpick이 같은 리소스를 다시 읽었고 그 문제를 관찰하지 않았습니다. 이것은 그 리소스 하나에 대한 진술이며, 사이트 전체에 대한 인증서가 아니고 자격 증명을 교체했다는 증명도 아닙니다.
* **여전히 열려 있음.** 문제가 여전히 관찰됩니다. 수정을 기대했다면, Lockpick이 테스트한 URL에서 패치가 실제로 적용되었는지 확인하세요.
* **판단 불가.** 이번에는 확인할 수 없었습니다. 사이트가 스캔을 차단했거나, 속도를 제한했거나, 검사 깊이가 그 지점까지 닿지 않았기 때문입니다. 판단 불가는 절대 수정됨이 아닙니다.

Lockpick은 패치가 병합되었거나 티켓이 닫혔다는 이유로 무엇인가를 수정됨으로 표시하지 않습니다. 배포된 사이트에서 관찰한 것만 보고합니다.

## 코딩 에이전트에서 실행하기

Lockpick을 도우미에 연결한 뒤([Codex](/ko/docs/ai/codex)와 [권한](/ko/docs/mcp/permissions) 참고), 수정을 확인해 달라고 요청하세요. 스킬 팩의 `lockpick-fix` 스킬이 수정하고 다시 확인하는 과정을 안내합니다.

```text title="프롬프트"
I deployed the fix for the SSRF Codex Security found at /api/fetch. Use Lockpick to check the live URL again and tell me if it is fixed, still open or inconclusive.
```

## CLI에서 실행하기

다시 확인하려면 사이트에서 스캔을 시작할 권한과 Pulse 접근이 가능한 CLI 키가 필요합니다. Deep 스캔에는 소유권 증명과 승인도 필요합니다.

지원되는 공개 기록(DNS) 문제는 무료로 다시 읽을 수 있으며, 이때 등급은 바뀌지 않습니다.

```bash title="DNS 재확인"
lockpick recheck <scan-id> --dns <finding-id>
```

HTTP로 접근할 수 있는 모든 문제는 그 문제의 깊이에 맞춘 새 스캔이 필요하며, 이는 월 허용량에서 스캔 하나를 사용합니다. 먼저 비용을 확인하세요.

```bash title="배포된 HTTP 문제 다시 확인"
lockpick status
lockpick pulse <site>
lockpick compare <run-id>
```

`lockpick compare`는 이전 문제마다 같은 세 가지 상태를 출력합니다.

## 코드 문제 가져오기

Codex Security의 코드 문제를 Lockpick의 실시간 문제와 함께 보려면, 내 컴퓨터에서 둘을 대조하세요.

```bash title="대조하기, 아무것도 내 컴퓨터를 떠나지 않습니다"
lockpick import findings.json --run <run-id>
```

이 명령은 Codex Security의 `findings.json` 또는 SARIF 2.1.0 파일을 읽고, 각 코드 문제를 같은 경로의 실시간 문제와 맞춥니다. Lockpick이 그 경로가 로그인 없이 응답하는 것을 본 경우에는 확신도를 높입니다. 기본적으로 코드 문제에 관한 어떤 것도 내 컴퓨터를 떠나지 않습니다. 명시적으로 `--upload`를 실행한 경우에만 최소한의 대조 키(경로, 규칙 ID, 심각도)를 만들며, 공유하기 전에 정확히 무엇을 공유할지 먼저 보여 줍니다.