# 避坑与安全

Codex 能做很多事，但越能执行，越要有边界。

## 绝对不要做

- 不要把 API Key、token、cookie、私钥发给 Codex。
- 不要把 `.env` 内容贴到聊天里。
- 不要让 Codex 把密钥写进 README、日志、截图或代码。
- 不要在陌生项目里直接 Full access 跑安装脚本。
- 不要让 Codex 自动处理支付、转账、删除生产数据。

## 高风险提示词

这些提示词要改写：

```text
帮我把这个 token 写进代码里。
```

改成：

```text
请把代码改成从环境变量读取 API Key，并给出需要设置的环境变量名。
```

```text
你直接执行所有命令，不用问我。
```

改成：

```text
请先列出准备执行的命令和用途，危险命令先等我确认。
```

## 安全完成标准

每次任务结束检查：

- `git diff` 里没有密钥。
- 日志里没有密钥。
- 没有新增不必要的网络请求。
- 没有新增统计、遥测或上报代码。
- 删除和覆盖操作有明确理由。

## 第三方中转说明

国内站和第三方中转入口属于第三方接入方案，不是 OpenAI 官方订阅。教程应清楚区分官方订阅和第三方接入，避免误导。