必须在代码合并前完成可验证、可拦截、可修复的安全扫描闭环，包括启用IDE插件实时提示、全量扫描、Chat模式交互诊断及CI/CD编译期强制拦截。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
当你把Codex生成的代码直接放进项目里跑起来，却在渗透测试或上线前扫描中被报出SQL注入、命令执行、路径遍历等高危漏洞时，说明模型输出已越过安全边界——这不是偶然误配，而是Codex训练数据中大量Demo代码残留的固有缺陷在真实上下文中爆发。必须在代码合并前完成可验证、可拦截、可修复的安全扫描闭环。
启用IDE插件实时悬浮提示
打开IDE设置→Plugins→搜索CodeBuddy Security→勾选启用。这一步操作起来很简单，直接点击安装并重启即可生效。
插件激活后，编辑器光标悬停在危险函数调用（如exec()、system()、file_get_contents($_GET['path'])）上时，会自动弹出风险说明与安全替代建议。该功能不依赖手动触发，但【仅对当前打开的文件实时生效，未打开的文件不会被监测】。
启用安全智能体全量扫描
这是识别Codex输出中隐含CVE匹配模式与OWASP Top 10典型缺陷的基础防线，覆盖SQL注入、XSS、硬编码密钥、反序列化调用等高危结构。
通过本地 Codex 或 OpenClaw OAuth 凭证直接调用 ChatGPT/Codex Responses 的 image_generation 工具来生成或编辑光栅图像，然后保存
1、在IDE中右键项目根目录，选择“CodeBuddy → Run Security Scan”。
2、等待扫描完成，查看左侧“Security Issues”面板中的高亮标记项。
3、点击任一漏洞条目，右侧将显示漏洞位置、风险等级、触发示例及自动生成的修复补丁代码。
注意：扫描结果默认包含中低危项，若只想聚焦高危问题，需提前在插件设置中勾选“Show only high severity issues”。
开启Chat模式交互式诊断
适用于验证AI生成代码是否适配特定业务逻辑、权限模型或数据流边界，能动态补足静态扫描盲区。
方法一：打开CodeBuddy Chat界面，输入类似“这段由Codex生成的PHP代码用file_get_contents拼接$_GET['path']读取文件，是否存在路径遍历风险？”的提问。
方法二：粘贴生成的代码片段，确保包含参数来源（如$_GET、$_POST、$_COOKIE）及后续操作函数（如include、file_get_contents、exec）。
方法三：CodeBuddy将返回漏洞原理说明、安全替代方案（如basename()校验+白名单路径前缀）及对应Laravel/ThinkPHP适配示例。
强制CI/CD流水线编译期拦截
这一步必须做，否则带漏洞的Codex代码会随着一次git push进入测试环境，再难拦截。
第一步：在项目根目录添加.codebuddy.yml文件，配置security: enable: true与severity-threshold: high。
第二步：在Jenkins/GitLab CI脚本中插入codebuddy-cli scan --format=checkstyle命令。
第三步：构建失败时，日志将直接指出漏洞文件路径与一键可应用的补丁哈希值。
注意：【未配置severity-threshold: high会导致中低危漏洞被静默忽略】
