避坑与安全

Codex 能做很多事，但越能执行，越要有边界。

绝对不要做

  • 不要把 API Key、token、cookie、私钥发给 Codex。
  • 不要把 .env 内容贴到聊天里。
  • 不要让 Codex 把密钥写进 README、日志、截图或代码。
  • 不要在陌生项目里直接 Full access 跑安装脚本。
  • 不要让 Codex 自动处理支付、转账、删除生产数据。

高风险提示词

这些提示词要改写：

帮我把这个 token 写进代码里。

改成：

请把代码改成从环境变量读取 API Key，并给出需要设置的环境变量名。

你直接执行所有命令，不用问我。

改成：

请先列出准备执行的命令和用途，危险命令先等我确认。

安全完成标准

每次任务结束检查：

  • git diff 里没有密钥。
  • 日志里没有密钥。
  • 没有新增不必要的网络请求。
  • 没有新增统计、遥测或上报代码。
  • 删除和覆盖操作有明确理由。

第三方中转说明

国内站和第三方中转入口属于第三方接入方案，不是 OpenAI 官方订阅。教程应清楚区分官方订阅和第三方接入，避免误导。