在 Codex 中调试代码、运行脚本、修改文件时，最让人头疼的往往是权限配置——设置得太严格，AI 无法完成任务；设置得太宽松，又担心它误删重要配置。默认权限看起来稳妥，但一旦涉及批量重命名、自动提交 Git、向 .env 写入内容，就会频繁弹出确认框，打断开发思路；自动审查模式虽省心，却可能在关键步骤漏掉确认；完全访问权限虽然一开到底，但若缺乏隔离环境，相当于直接把系统密钥交给了陌生人。

因此，第一步不是纠结权限本身，而是先明确工作区边界。

先划定工作区，再谈权限配置

打开 Codex App，点击左侧「项目」入口 → 选择一个本地真实存在的文件夹（例如~/projects/my-app）→ 等待左下角显示该路径并确认加载成功。

【务必选择真实目录，避免空文件夹或桌面根目录】空目录会让 AI 缺乏上下文理解能力，而桌面或用户主目录则相当于开放所有个人文件，沙箱保护形同虚设。

这一步完成后，Codex 才能准确识别“自己能操作哪些文件”，后续所有权限模式都基于此边界生效。如果跳过该步骤直接切换权限，就像给枪装上弹药却没有对准目标。

三种权限模式的切换路径

对话框底部排列着一组按钮：默认权限、自动审查、完全访问权限。点击即可生效，无需重启 App 或刷新页面。

当前模式名称会高亮显示，右侧同步出现对应的图标——锁形→盾形→火焰形，视觉反馈非常直观。切换后，AI 对同一指令的响应行为会立即改变。例如执行rm -f *.log时，默认权限会暂停并询问用户，而完全访问权限则会直接执行。

不同场景下的模式选择策略

方案一：日常开发推荐默认权限

该模式适用于 90% 以上的任务：阅读源码、补全函数、生成测试用例、修改单个 CSS 类名、重命名变量等。AI 可以自由读写工作区内的文件，但在执行curl、git push、npm install等外部命令前，一定会弹出确认框征求许可。

方案二：批量重构选用自动审查

当你需要 AI 一次性修改 20 个文件的导入路径、统一替换 API Base URL、或按规则重命名组件文件时，启用自动审查模式。AI 会跳过低风险编辑（如文本替换），仅对高风险操作（如删除非空目录、修改 package.json 的 scripts 字段）发起确认请求。

【注意：自动审查不会跳过数据库迁移脚本执行或 .env 写入操作】这两类操作仍被识别为高风险，必须由用户手动确认。

方案三：隔离环境内启用完全访问权限

仅在满足以下任一条件时开启：① 运行在 Docker 容器中；② 工作区为全新克隆的临时分支（例如git checkout -b codex-sandbox）；③ 所有敏感配置已移出工作区（.env、secrets.yml 等不在该目录树内）。开启后，AI 可以执行任意命令、写入任意路径、调用系统工具，不再弹出确认框。

CLI 端强制启用只读沙盒模式

第一步：打开终端，进入项目根目录。

第二步：执行命令 codex --sandbox read-only bash。

第三步：在启动后的交互式 shell 中输入任意命令——例如ls src/可以正常执行，但echo "test" > out.txt会报错 Permission denied，curl https://api.example.com直接被拦截。

该模式适用于代码审计、学习他人项目、或向新人演示逻辑流程——确保零副作用。它绕开了 App 界面，直接由 Landlock 内核模块锁定整个文件系统的写入能力，比 App 内任何权限设置都更底层、更硬核。