# 06. 权限与沙盒: Full access 怎么选

Codex 能读写文件、运行命令、访问网络时，效率会很高，但风险也更高。权限不是越大越好，而是和任务匹配。

## 常见权限

| 权限 | 能做什么 | 适合场景 |
| --- | --- | --- |
| Read only | 只读文件 | 代码审查、解释项目 |
| Workspace write | 修改当前工作区 | 日常开发首选 |
| Full access / danger-full-access | 访问更广文件系统 | 本机运维、跨目录整理 |
| Network enabled | 访问网络 | 查官方文档、安装依赖、部署 |

## 新手默认建议

默认用 Workspace write。只有在任务明确需要跨目录、系统配置或部署时，再开更高权限。

## 不建议直接 Full access 的任务

- 陌生仓库第一次运行。
- 会执行安装脚本的项目。
- 需要处理 `.env`、cookie、token 的项目。
- 你还没看懂它要跑什么命令的任务。

## 给 Codex 的好指令

```text
先只读检查项目结构和 package 脚本，告诉我你准备运行哪些命令。
不要读取 .env，不要打印任何 token。
```

## 高权限任务的完成标准

- 你知道为什么需要这个权限。
- Codex 说明了要改哪些路径。
- 没有把密钥输出到日志。
- 验证命令只覆盖必要范围。