codex权限管理

Codex 的权限管理系统大概是现存最完善的 coding agent 权限模型——沙箱隔离 + 配置层级 + 审批策略，但理解起来有点费劲。

我们不妨将其比作明朝的锦衣卫制度。

沙盒模式

Codex 的权限模型分两层：sandbox_mode 管「锦衣卫的职权范围」，approval_policy 管「要不要上奏」。

sandbox_mode 三级：

• read-only → 只能查案。翻翻卷宗问问话，抓不了人。

• workspace-write → 可以查案，也可以抓人。普通百户级别。

• danger-full-access → 先斩后奏。查案、抓人、抄家、砍头，什么都能干。

workspace-write: AI 的活动范围 = 你项目那个文件夹 🚧

danger-full-access: AI 的活动范围 = C盘 + D盘 + 系统目录 + 网络 🌐

only when you intentionally want，只有你明确想这样做的时候。 我想应该很少有情况需要开这种模式。

审批策略

光有职权不够，还得有人制衡——这就是 approval_policy 干的。

• never → 先斩后奏，不通知皇帝。锦衣卫自己说了算。等价于 --yolo，最快也最危险。

• on-request → 风险评估——抄家（rm -rf）写奏章请示，查户籍（读文件）不用。默认模式，最均衡。

• untrusted → 连翻卷宗都得先报。每动一步都要皇帝批，安全最高但效率为零。

默认预设

Codex 预置了三种办案规格：

新任锦衣卫百户（默认）：workspace-write + on-request + user。能在官场抓人，高风险才请示，皇帝御笔亲批每一道奏章。安全是安全，就是皇帝有点累。

这里提一点，workspace-write默认是不开启网络访问的。

便宜行事（授权自决）（自动审查）：workspace-write + on-request + auto_review。活的规格不变，但皇帝给了「便宜行事」的授权——低风险按规矩自己审，只有真正的大案才递折子上报。皇帝轻松多了。

魏忠贤（九千九百岁）（完全访问）：danger-full-access + never。尚方宝剑 + 先斩后奏，不需要任何事前审批。想查谁查谁，想杀谁杀谁——皇帝完全被蒙在鼓里。这就是 --yolo，最快也最危险。

官方都说了，完全不推荐。

沙盒规格

光有权限不够，还得有身份证明——sandbox 规格决定了锦衣卫出门时的仪仗和防线强度。

从官方文档可见elevated更受windows系统支持，所以这里比喻成飞鱼服出巡。

以及，如果只是“摄政王”，没有“上谕”，才用unelevated。用户如果不是管理员的话，可能就无法设置elevated。

unelevated（便衣密令）：穿着常服揣着密令出门。灵活低调，但遇到城门守卫不配合，你也没辙。

elevated（飞鱼服出巡）：飞鱼服 + 绣春刀 + 驾牌开道。各衙门都得配合，不配合就是抗旨。

codex权限查看

这里可以找到自己的codex权限情况，在应用中选择自定义就会按照config.toml中的内容执行。

建议可以在设备上不止装codex，CC，hermes，或者其他应用，我大明朝怎么能只有东厂没有西厂？得让英雄查英雄，好汉查好汉。各自监督对方的安全审查是否过关。

📎 来源：

• Codex 配置文档：https://learn.chatgpt.com/docs/config-file/config-reference

• Windows 沙箱：https://learn.chatgpt.com/docs/windows/windows-sandbox

• 执行策略：https://developers.openai.com/codex/exec-policy

如有误漏，请查阅官方文档。