01Le principe
La correction se fait dans le dépôt, sur votre poste, jamais sur le serveur. CodeBox donne à votre assistant le plan complet et des règles strictes : une branche dédiée, un commit par paquet, aucun push ni déploiement, et un arrêt avant toute version majeure. Vous relisez la branche et vous la fusionnez vous-même.
02Avec un fichier
Dans le dossier du projet, la commande suivante analyse le code puis écrit CODEBOX-CORRECTIFS.md à la racine. Ouvrez ensuite votre assistant et demandez-lui : « applique CODEBOX-CORRECTIFS.md ». Le même fichier se télécharge aussi depuis la page du projet.
$ npx -y https://codebox.nealix.org/cli/codebox-cli-1.0.12.tgz fix --scanAjoutez CODEBOX-CORRECTIFS.md à votre .gitignore : ce rapport n'a pas à être commité.
03Avec le serveur MCP
Votre assistant peut aussi interroger CodeBox lui-même, sans fichier intermédiaire. Pour Claude Code :
claude mcp add codebox -e CODEBOX_KEY=cbk_votre_cle -- npx -y https://codebox.nealix.org/cli/codebox-cli-1.0.12.tgz mcp
- codebox_plan : le plan de correction et ses règles git.
- codebox_findings : les failles ouvertes par paquet, en JSON.
- codebox_scan : relance l'analyse après les mises à jour, pour vérifier que les failles sont fermées.
- Cursor, Antigravity et les autres clients MCP : même commande (npx … mcp) avec la variable CODEBOX_KEY dans leur configuration.
04Production et poste de développement
Un même projet peut être suivi en production (sur un serveur) et sur votre poste. CodeBox garde un inventaire pour chacun : la production décide des alertes et du score, le poste sert à vérifier un correctif avant de le déployer. La page du projet montre ce qui est corrigé en local mais pas encore déployé.
Le rattachement est automatique quand les deux scans viennent du même dépôt git. Sinon, ouvrez le projet de production et liez votre projet local.