改进威胁模型

了解什么是威胁模型，以及编辑它如何改进 Codex 安全性的建议。

什么是威胁模型

威胁模型是对仓库运作方式的简短安全概述。在 Codex 安全性中，您可以将其编辑为 project overview，系统会将其用作未来扫描、优先级排序和审查的扫描上下文。

Codex 安全性会根据代码创建初始草稿。如果发现的问题感觉有偏差，这是首先应该编辑的内容。

一个有效的威胁模型应指出：

• 入口点和不受信任的输入
• 信任边界和身份验证假设
• 敏感数据路径或特权操作
• 您的团队希望优先审查的区域

For example:

用于账户变更的公共 API。接受 JSON 请求和文件上传。使用内部身份验证服务进行身份检查，并通过内部服务写入账单变更。重点审查身份验证检查、上传解析以及服务间的信任边界。

这为 Codex 安全性未来的扫描和发现排序提供了更好的起点。

改进和重新审视威胁模型

如果您想改进结果，请首先编辑威胁模型。当发现的问题遗漏了您关注的区域，或者出现在您意想不到的地方时，请使用它。威胁模型会改变未来扫描的上下文。

编辑位置

要查看或更新威胁模型，请转到 Codex 安全性扫描，打开仓库，然后点击 编辑.

相关文档

• Codex Security 设置 涵盖仓库设置和发现审查。
• Codex 安全 提供了产品概述。
• 常见问题 涵盖了常见问题。