权限、沙箱与安全

Codex 的安全边界由两层组成:沙箱决定命令和文件系统能做什么,审批策略决定什么时候必须停下来问你。

#核心概念

#常用模式

启动示例:

codex --sandbox read-only --ask-for-approval on-request
codex --sandbox workspace-write --ask-for-approval on-request

配置示例:

sandbox_mode = "workspace-write"
approval_policy = "on-request"
approvals_reviewer = "user"

#Sandbox 模式

在 workspace-write 下,部分路径仍会被保护,例如 .git/、.codex/ 和 .agents/。这能降低代理误改版本库元数据、配置和能力文件的风险。

#Approval 策略

approval_policy = "never" 不等于无限权限。它只是不问你;如果 sandbox 不允许某个动作,动作仍可能失败。

#网络访问

本地 workspace-write 默认不开命令网络访问。需要显式打开:

[sandbox_workspace_write]
network_access = true

如果需要限制访问域名,再启用 network proxy:

[features.network_proxy]
enabled = true
domains = { "api.openai.com" = "allow", "example.com" = "deny" }

[sandbox_workspace_write]
network_access = true

网络规则是 allowlist-first。deny 优先于 allow。* 代表非常宽的网络访问,生产环境尽量不用。

Web search 是另一层设置:

web_search = "cached"
# web_search = "live"
# web_search = "disabled"

Live search 和联网命令都会增加 prompt injection 风险。网页、issue、README、日志里的指令都应视为不可信输入。

#自动审批审查

Codex 支持把符合条件的审批请求交给 automatic review:

approval_policy = "on-request"
approvals_reviewer = "auto_review"

它只审查本来就需要审批的动作,例如 sandbox escalation、被阻止的网络请求、side-effecting MCP/app tool。已经在 sandbox 内允许的动作不会额外走 review。

#Rules

Rules 用来控制命令在 sandbox 外的放行、提示或禁止。它适合处理“只允许这几个命令越界”的场景。

prefix_rule(
    pattern = ["gh", "pr", "view"],
    decision = "prompt",
    justification = "Viewing PRs is allowed with approval",
    match = ["gh pr view 123"],
    not_match = ["gh pr --repo org/repo view 123"],
)

测试:

codex execpolicy check --pretty \
  --rules ~/.codex/rules/default.rules \
  -- gh pr view 123 --json title,body

Rules 对 shell wrapper 会尽量拆分简单命令链。复杂 shell 特性无法安全拆分时,会保守地按整个 shell 调用处理。

#危险模式检查表

开启 full access 或 --dangerously-bypass-approvals-and-sandbox 前先确认:

#Passion8 场景

使用 Passion8 时,模型请求走 https://passion8.cc/v1,但本机文件、命令、网络和 MCP 权限仍由 Codex 本地安全模型控制。不要把“Provider 换成 Passion8”理解成“本机风险降低”。

建议默认:

sandbox_mode = "workspace-write"
approval_policy = "on-request"
web_search = "cached"

[sandbox_workspace_write]
network_access = false

需要联网安装依赖时,临时开权限并让 Codex解释原因;完成后恢复默认。

#官方参考

• Codex manual: Agent approvals & security
• Codex manual: Sandbox
• Codex manual: Permissions
• Codex manual: Rules