1. 为什么我要认真对待 Codex 沙箱的三种模式Codex 沙箱的 read-only、workspace-write、danger-full-access 三种权限模式本质上是在回答一个问题AI 帮你写代码的时候它到底能动你系统里的哪些东西。read-only 只能看不能改适合代码审查和方案分析workspace-write 能读写当前项目目录、跑测试、装临时依赖是日常改码的默认档danger-full-access 则放开网络和系统路径限制适合受控环境下的全权任务比如联网装包、调外部 API。这套分级对独立开发者、小团队、以及任何把 AI 接进真实项目的人都直接相关——你不可能永远用最宽松的权限也不该一直缩在最保守的档位里。我自己的触发点很具体有次让 Codex 帮忙重构一个 Flask 项目的目录结构它顺手把.git/下的东西也动了虽然没造成不可逆损失但那次之后我开始认真读它的权限模型。Codex 的沙箱不是 Docker 那种完整虚拟化而是内核层面的访问控制——macOS 走 Apple SeatbeltLinux 走 bubblewrap 加 seccomp 和 Landlock。理解这一点很关键它限制的是进程能碰什么而不是给你一个独立文件系统。所以模式选错后果是真实的。这篇会把三种模式的适用边界、config.toml骨架、以及怎么通过 TaoToken 统一 Key 和 API 通道接进来一步步写清楚。每个模式我都会给可复制的验证命令和回退动作你照着做就能在自己的项目里落地。2. TaoToken 前置统一 Key 与 API 通道在配 Codex 之前先把模型通道理顺。Codex 本身是执行框架它需要调用背后的模型来完成推理和代码生成。TaoToken 在这里的角色是提供一个统一的 API 入口你拿一个 Key 就能走通模型对话、编码任务这些场景不用在多个平台之间来回切换配置。你需要先拿到 API Key。进入控制台的 API Keys 页面创建一个建议按用途命名比如codex-dev方便后面区分。创建后把 Key 复制出来它只会完整显示一次。拿到 Key 之后Codex 侧需要配置两个东西API 基地址和 Key。基地址用https://taotoken.net/api这个地址不带任何查询参数直接填进配置即可。Key 就是你刚创建的那串。如果你还没创建 Key可以先去控制台操作控制台入口https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite创建 Key 的页面API Keys 管理https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite这一步做完你手上应该有一个可用的 Key 和一个 API 基地址。接下来就是把它写进 Codex 的配置并和沙箱模式配合起来。3. 可复制配置config.toml 骨架与三种模式Codex 的配置集中在config.toml里。下面这份骨架把模型通道和沙箱模式都覆盖了你可以直接拿去改。# ~/.codex/config.toml # 模型通道走 TaoToken 统一入口 model_provider taotoken model claude-sonnet-4-20250514 [model_providers.taotoken] name TaoToken base_url https://taotoken.net/api env_key TAOTOKEN_API_KEY # 沙箱模式三选一按任务风险切换 # read-only | workspace-write | danger-full-access sandbox_mode workspace-write # workspace-write 下的额外可写路径可选 [sandbox_workspace_write] writable_roots [/Users/you/projects/myapp] network_access falseKey 不要硬编码进文件用环境变量传export TAOTOKEN_API_KEYsk-你的Key三种模式的切换最直接的方式是改sandbox_mode这一行然后重启 Codex 会话。也可以在启动时用命令行参数临时覆盖# 只读审查 codex --sandbox read-only # 日常改码默认 codex --sandbox workspace-write # 受控全权 codex --sandbox danger-full-access这里有个容易踩的点workspace-write默认不允许网络访问。如果你在这个模式下让 Codex 去pip install或npm install它会失败。这不是 bug是设计。需要联网装包时要么临时切到danger-full-access要么在[sandbox_workspace_write]里把network_access打开——但后者要清楚你在放开什么。三种模式的能力对照我整理成一张表能力read-onlyworkspace-writedanger-full-access读项目文件允许允许允许写项目文件禁止允许允许读写系统临时目录禁止允许允许启动子进程禁止允许受约束允许网络访问禁止默认禁止允许写系统路径/etc、~/.ssh禁止禁止允许修改 .git/禁止禁止允许这张表是选择模式的依据。看任务需要碰哪一列就往右切一档任务结束切回来。4. 逐模式验证命令、输出与回退配置写完不算数得验证每个模式的实际行为。下面三个验证按风险从低到高来每个都带回退动作。4.1 read-only 验证确认它真的不写先切到只读模式让它尝试创建一个文件codex --sandbox read-only exec 在当前目录创建一个 test_readonly.txt写入 hello预期结果是操作被拒绝输出里会出现类似sandbox: read-only mode, write denied的提示。如果它真的创建了文件说明你的模式没生效——检查config.toml里sandbox_mode是否被命令行参数正确覆盖以及有没有其他配置文件在更高优先级上覆盖了它。回退动作read-only 本身没有副作用验证完直接切回workspace-write即可。4.2 workspace-write 验证确认项目内可写、项目外不可写这个模式要验证两件事。第一项目目录内能正常改cd ~/projects/myapp codex --sandbox workspace-write exec 在项目根目录创建 sandbox_test.md写入一行测试内容预期是文件成功创建。第二项目目录外不能写codex --sandbox workspace-write exec 在 /tmp 下创建 outside_test.txt预期是被拒绝因为/tmp不在writable_roots里。如果你把/tmp加进了writable_roots那这条就会通过——所以验证前先确认你的writable_roots配置。回退动作删掉测试文件rm sandbox_test.md确认没有残留。4.3 danger-full-access 验证确认网络通了但系统路径仍受控这个模式放开网络验证装包能力codex --sandbox danger-full-access exec pip install requests --dry-run预期是能正常解析依赖、输出安装计划。如果这一步失败检查你的网络环境是否能访问包源以及TAOTOKEN_API_KEY是否设置正确——模型通道不通的话Codex 根本走不到执行装包这一步。同时验证系统路径仍然受保护codex --sandbox danger-full-access exec 尝试写入 /etc/test_danger.txt预期是被拒绝。danger-full-access放开的是网络和部分系统路径但不是无差别全开。真正无保护的是--yolo参数那个会跳过所有确认日常不要用。回退动作danger-full-access下装过的包会真实留在环境里。验证完用pip uninstall requests清理或者干脆在虚拟环境里做这个验证。5. 本篇常见错排查报错一sandbox_mode不生效改了 config.toml 还是老行为。最常见的原因是命令行参数覆盖了配置文件。codex --sandbox read-only的优先级高于config.toml。检查你启动时有没有带--sandbox参数以及有没有CODEX_SANDBOX_MODE这类环境变量在起作用。报错二workspace-write 下装包失败提示网络不可达。这是预期行为。workspace-write默认network_access false。要么切danger-full-access要么在配置里显式打开网络——但打开之前想清楚这个项目是否真的需要。报错三模型请求 401 或连接失败。先确认TAOTOKEN_API_KEY环境变量在当前 shell 里真的存在echo $TAOTOKEN_API_KEY。如果为空说明 export 没生效或者开在了另一个终端窗口。再确认base_url填的是https://taotoken.net/api没有多余斜杠或路径。报错四danger-full-access 下改了 .git/ 导致仓库状态异常。这个模式允许修改.git/如果 Codex 执行了git相关操作且出了岔子用git status和git reflog排查。预防办法是需要全权模式时先git stash或提交当前改动让工作区干净。报错五切换模式后行为没变像是缓存了旧配置。Codex 会话启动时读取配置运行中改config.toml不会热生效。退出当前会话重新启动。排查顺序建议固定下来先看环境变量再看命令行参数最后看配置文件。这三层的优先级是从高到低的大部分配置不生效都是被更高优先级的层覆盖了。6. 按风险等级落地你的配置三种模式不是让你选一个一直用而是按任务风险动态切换。我的习惯是默认停在workspace-write需要审查代码或分析方案时切read-only需要联网装包或调外部接口时临时切danger-full-access任务结束立刻切回。如果你还在配 Key 和通道的阶段先把 API Key 建好API Keys 管理https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite配置过程中遇到接入问题对照文档排查接入文档https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite想先验证模型通道是否通可以直接在对话页面发一条测试消息模型对话https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_contentmodel-chatutm_campaignrewrite如果你打算长期用 Codex 做编码和 Agent 任务Coding Plan 会比按次调用更划算适合高频场景Coding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding-planutm_campaignrewrite最后给一个我实际在用的检查清单每次切换模式前过一遍当前任务需要写文件吗需要联网吗需要碰项目目录外的路径吗三个问题答完模式就定了。答完还是不确定就从read-only开始不够再往右切——往右切容易往左收需要你主动想起来。
