使用第三方 Codex 工具前的安全检查

第三方工具可能让模型接入更方便，也可能接触你的 API Key、Codex 配置、项目文件和网络请求。本篇提供一份安装前必须完成的检查流程。

教程目标

完成后，你能对第三方 Codex 客户端、协议转换器、插件或安装包做一次有证据的安全判断。

开始前准备

• 工具的官方网站或原始代码仓库。
• 当前版本发布页。
• 一个不包含真实业务数据的练习环境。
• 可单独撤销、低额度的测试 API Key。

第 1 步：确认来源

只接受能够交叉核对的原始来源：

1. 官方网站链接到的仓库。
2. 仓库链接到的 Releases 页面。
3. 发布页列出的文件名、版本、哈希或签名。

网盘、聊天群、邮件附件、公众号附件和二次打包站不能单独作为可信来源。

第 2 步：让 Codex 做只读审查

请只读审查下面这个第三方 Codex 工具，暂时不要下载或安装。

【粘贴官方网站、代码仓库和发布页链接】

请检查：
1. 网站、仓库和发布页是否能相互对应。
2. 最新发布是否提供哈希、签名、源代码和变更说明。
3. 工具可能读取或修改哪些 Codex 配置、认证文件和项目文件。
4. 是否需要管理员权限、常驻后台或开放本地端口。
5. API Key 会保存在哪里，是否可能经过第三方服务器。
6. 是否有清楚的卸载和回滚方式。
7. 把无法确认的项目明确标记为“未知”。

最后按高、中、低风险输出结论，不要替我安装。

预期结果：得到具体证据和未知项，而不是“看起来没问题”。

第 3 步：隔离密钥和项目

• 新建专用测试 Key，设置最低可用额度。
• 不复用生产 Key。
• 第一次只打开空目录或练习项目。
• 安装前备份 ~/.codex/config.toml、认证文件和相关环境变量。
• 截图、日志和报错中隐藏 Key、用户名、内网地址和客户数据。

第 4 步：检查安装与运行权限

遇到以下情况先停止：

• 没有解释原因就要求管理员权限。
• 要求关闭杀毒软件或系统安全功能。
• 下载地址跳转到无法核对的网盘或短链接。
• 要求上传整个项目、认证文件或真实 .env。
• 无法说明后台进程、监听端口或网络目的地。

第 5 步：记录可回滚状态

安装前记录：

• 安装包文件名、版本和哈希。
• 配置文件原始副本。
• 新增环境变量。
• 新增后台进程、服务和端口。
• 卸载入口和 Key 撤销入口。

安装后逐项对照，不接受“应该只改了配置”这种没有证据的结论。

验收结果

你做到这里，如果看到下面 3 个结果，就说明本篇完成：

1. 工具来源和发布文件能够相互核对，未知风险已被记录。
2. 测试使用独立低额度 Key 和练习项目，没有暴露生产数据。
3. 你已经掌握配置恢复、Key 撤销、进程停止和软件卸载方法。

下一篇可以继续：Codex + DeepSeek 配置。