個人化設定：config.toml

想像你新請了一位助手。第一天他什麼都不懂，每件小事都來問你：「要用哪枝筆？」「這份文件可以動嗎？」「要不要先給你看一眼？」很煩對吧。config.toml 就是你寫給他的一張長期備忘錄：把你的固定偏好一次講清楚，以後他自己照辦，不用每次重講。

而 profile（設定組合包） 更進一步：你可以準備好幾張備忘錄，一張叫「日常」、一張叫「深度審查」、一張叫「離線」，要切換情境時喊一聲名字就換一整套。

這一章你會學到：

• 設定檔放在哪、哪一份說了算（優先序）；
• 最常用的設定鍵速查（模型 / 安全 / 搜尋 / 風格），以及把終端機外觀（主題 / 鍵位 / 狀態列）調成自己順手的樣子；
• 怎麼用 profile 一鍵切換「日常」與「深度審查」兩套設定；
• 子程序環境、Windows sandbox，以及不想改檔時的 -c 一次性覆寫。

8.1 設定檔位置、優先序與信任專案

設定檔放在哪？三個位置

config.toml 是 TOML 格式（一種給人看也好寫的設定檔格式，長得像 鍵 = "值"）。它可以同時存在於三個地方：

來源：Config basics。

同一個鍵被設了好幾次，聽誰的？優先序

如果你在好幾個地方都設了同一個鍵（例如 model），Codex 會照下面這個順序決定誰說了算。越上面越大，會蓋過下面的：

1. CLI 旗標 / -c 一次性覆寫（你這次打的指令，最大）
2. 專案級 .codex/config.toml（離工作目錄最近的那份）
3. Profile 檔 ~/.codex/<名稱>.config.toml
4. 使用者級 ~/.codex/config.toml
5. 系統級 /etc/codex/config.toml
6. 內建預設值（都沒設時的備援）

用一句話記：你「當下打的指令」最大，然後越靠近專案的越大，最後才輪到全域與內建預設。

來源：Config basics。官方逐字：「Codex resolves values in this order (highest precedence first)」。

⚠️ 陷阱一：有些鍵放在專案層會被「忽略」

這是新手最容易踩的雷。專案級 .codex/config.toml 不能覆寫某些「機器本地擁有」的安全 / 全域鍵——你寫了也沒用，Codex 會直接忽略（並可能警告）。

被忽略的鍵包含這些（來源：Advanced Configuration，官方逐字列出以下 10 個）：

openai_base_url
chatgpt_base_url
apps_mcp_product_sku
model_provider
model_providers
notify
profile
profiles
experimental_realtime_ws_base_url
otel

⚠️ 陷阱二：不信任的專案，整個 .codex/ 會被跳過

Codex 有「信任專案」機制。如果你把一個專案標記為「不信任（untrusted）」，Codex 會直接跳過該專案的 .codex/ 設定層，完全不載入。

來源：Config basics，官方逐字：「Project-scoped .codex/ layers only load when you explicitly trust the project」。

改變 Codex 的家目錄：CODEX_HOME

~/.codex/ 這個資料夾叫做 Codex 的「家目錄」，裡面放 config、登入憑證、日誌、session 紀錄。你可以用環境變數 CODEX_HOME 把它搬到別的位置。

來源：Environment variables，官方逐字定義 CODEX_HOME 為 Codex 狀態根目錄，預設 ~/.codex。

CODEX_HOME=$(pwd)/.codex-agent codex exec "列出目前使用的指令來源"

8.2 常用鍵速查（模型 / 安全 / 搜尋 / 風格）

這一節是抄了就能用的速查。挑你需要的貼進 ~/.codex/config.toml 即可。每個鍵都附了允許值，寫錯值 Codex 不會接受。

第一步：把設定檔打開

如果 ~/.codex/config.toml 還不存在，自己建一個就好：

🍎 Mac / 🐧 Linux：

mkdir -p ~/.codex
codex             # 跑過一次，Codex 會幫你建好 ~/.codex 資料夾

🪟 Windows（PowerShell）：

New-Item -ItemType Directory -Force -Path "$env:USERPROFILE\.codex"
codex             # 跑過一次，Codex 會幫你建好 .codex 資料夾

然後用你慣用的編輯器打開 ~/.codex/config.toml（🪟 Windows 是 %USERPROFILE%\.codex\config.toml）開始寫。

#:schema https://developers.openai.com/codex/config-schema.json

A. 模型相關

範例：

model = "gpt-5.5"
model_provider = "openai"
model_reasoning_effort = "high"      # minimal | low | medium | high | xhigh
model_reasoning_summary = "auto"     # auto | concise | detailed | none

來源：Configuration Reference。model 的範例值 gpt-5.5 / gpt-5.4 出自官方文件範例。

B. 安全相關：批准（approval）與沙箱（sandbox）

這兩個鍵控制「Codex 動手前要不要先問你」和「Codex 能動哪些東西」，是第 6 章的兩大軸心。在 config 裡固定下來，就不用每次打旗標。

approval_policy 三個值的意思：

sandbox_mode 三個值的意思：

範例（一個常見的本地組合）：

approval_policy = "on-request"        # untrusted | on-request | never
sandbox_mode = "workspace-write"      # read-only | workspace-write | danger-full-access

來源：Configuration Reference，三個值與旗標逐字相符。

[[approval_policy]]
type = "command"
pattern = "npm test"
action = "auto-approve"

當 sandbox_mode = "workspace-write" 時，還有一個子表可以微調可寫範圍與網路：

sandbox_mode = "workspace-write"

[sandbox_workspace_write]
network_access = false               # 預設工作區寫入模式「不」連網
exclude_slash_tmp = false            # 是否把 /tmp 移出可寫範圍
exclude_tmpdir_env_var = false       # 是否把 $TMPDIR 移出可寫範圍
writable_roots = ["/Users/YOU/.pyenv/shims"]   # 額外開放可寫的目錄

來源：Advanced Configuration，四個子鍵逐字相符。

C. 網路搜尋

web_search = "cached"   # disabled | cached | live

來源：Configuration Reference，預設 cached。

D. 風格與小設定

personality = "friendly"   # none | friendly | pragmatic
file_opener = "vscode"     # vscode | vscode-insiders | windsurf | cursor | none

來源：Configuration Reference，各值逐字相符。

E. 打造終端機的樣子：[tui] 個人化

前面 A～D 談的都是「Codex 怎麼做事」；這一節換個角度，談「Codex 長什麼樣子」——顏色、鍵位、底部狀態列這些看得到、摸得到的介面細節，全部收在 [tui] 這個表格底下。這一章的標題是「個人化設定」，這一節大概是最字面意義上的個人化。

來源：Configuration Reference，[tui] 表格與各子鍵逐字相符。

主題（tui.theme）：內建主題選好後（用 /theme 即時預覽），也可以自己帶主題進來。把 TextMate 格式的 .tmTheme 主題檔（例如 Catppuccin、rainglow 這類社群配色）丟進 $CODEX_HOME/themes/（預設 ~/.codex/themes/），檔名去掉副檔名、轉成 kebab-case，就會自動出現在 /theme 選單與 tui.theme 的可用值裡，不用額外註冊。

[tui]
theme = "catppuccin-mocha"
vim_mode_default = false
status_line = ["model", "context-remaining", "git-branch"]
terminal_title = ["spinner", "project"]

鍵位（tui.keymap）：用 context（情境）分組，常見的有 global（全域）、chat、composer（輸入框）、editor、vim_normal / vim_operator / vim_text_object、pager、list、approval。每個 context 底下再指定 action（動作）對應哪個按鍵：

[tui.keymap.global]
open_transcript = "ctrl-t"

[tui.keymap.composer]
submit = ["enter", "ctrl-m"]

來源：Advanced Configuration，鍵位表格與 context 清單逐字相符。

狀態列與視窗標題（tui.status_line / tui.terminal_title）：兩者都是「有序的 ID 陣列」——你列出想看的項目、順序就是顯示順序。/statusline 那個勾選＋排序的選單（第 4 章已介紹過）做的事，就是幫你生出這行 status_line = [...]。想整個隱藏，設成 null 或空陣列 [] 即可。

vim 鍵位（tui.vim_mode_default）：預設 false（一般鍵位）。習慣 vim 的人可以把它設 true，讓每次啟動都是 vim 模式；只是這次想用一下、不想改預設值，在 session 裡打 /vim 單次切換就好，不會動到 config.toml。

全螢幕替代畫面（tui.alternate_screen）：第 1 章提過旗標 --no-alt-screen 可以單次關掉這個效果，方便錄影或事後往上捲 log；tui.alternate_screen 就是它的永久設定版——設成 false，以後每次啟動都留在主捲動緩衝區，不用每次都加旗標。

抓拼錯的好幫手：--strict-config

設定鍵很多、又會隨版本變，你很容易把鍵名打錯一個字母而不自知（打錯的鍵就是被靜默忽略，難怪「設了沒效」）。加上 --strict-config 旗標，Codex 遇到不認得的設定欄位就直接報錯，逼你當場發現拼錯。

codex --strict-config

來源：Command line options，官方逐字：「Error when config.toml contains unrecognized fields」。

⚠️ 比拼錯鍵名更兇的地雷：TOML 語法本身寫壞

--strict-config 抓的是「Codex 讀得懂這份檔案、但裡面有它不認得的欄位」。還有一種更兇的錯誤——TOML 語法本身寫壞，檔案從頭到尾就解析不起來。這種情況下 Codex 甚至不會啟動，--strict-config 也幫不上忙，因為連進到「檢查欄位」那一步都到不了。

兩條 TOML 自己的規則最容易被踩到：

• 頂層 鍵 = 值 一定要寫在所有 [表格] 標頭「之前」。檔案裡一旦出現過一個 [表格名]，後面每一行都會被當成那個表格「裡面」的內容，直到下一個表格標頭出現為止。想加一個新的頂層設定，卻手滑貼到檔案尾端（某個表格後面），值不會報錯，但意思整個變了，鍵靜靜地跑進別的表格裡去。
• 同一個 [表格] 名稱不能在檔案裡宣告兩次。例如檔案裡出現兩段各自的 [sandbox_workspace_write]，只有第一段會被解析，第二段會直接觸發「重複鍵」錯誤。這種情況常發生在：某個編輯器擴充套件或安裝腳本每次都用「附加寫入」而非「真正解析後合併」的方式更新設定檔，同一段設定就這樣被重複貼了好幾次，越跑越長。

這類語法錯誤跳出來的訊息長這樣（真實回報過的錯誤案例）：

failed to load configuration: ~/.codex/config.toml:228:1: invalid type: map, expected a sequence

翻成白話：某一行，Codex 期待看到的是一份「清單」（陣列表格 [[區塊名]]），但實際讀到的是「單一物件」（表格 [區塊名]）。這種型別錯誤最常發生在「本來就該有好幾筆」的結構上——例如第 9 章會教的 MCP 伺服器清單、第 13 章會教的 hooks 設定，這類欄位官方 schema 定義成陣列表格（像 [[hooks.PreToolUse]]），如果手滑少打一個中括號寫成單一表格 [hooks.PreToolUse]，就會踩到這個錯誤。

8.3 Profiles：用獨立 overlay 檔切換情境

Profile 是什麼？

Profile（設定組合包）就是「另一份設定檔，疊在你主設定檔上面」。 你準備好幾套不同情境的偏好，要用哪套就喊它的名字，一鍵切換一整組設定。

最常見的用法：平常用「日常」設定（快、便宜、夠用）；要做嚴謹的程式碼審查時，切到「深度審查」設定（用最強推理、最謹慎批准）。

官方現行寫法：一個 profile = 一個獨立檔案

這裡有個重要的版本差異要講清楚。Codex 現行官方推薦的 profile 寫法是「分層 overlay 檔」：

• 主檔（base）： ~/.codex/config.toml
• 疊加檔（overlay）： ~/.codex/<profile 名稱>.config.toml（檔名就是 profile 名）
• 切換： 啟動時加 --profile <名稱>

當你下 --profile deep-review，Codex 會先讀主檔 ~/.codex/config.toml，再把 ~/.codex/deep-review.config.toml 疊上去覆寫。

來源：Advanced Configuration，官方逐字：「When you pass --profile profile-name, Codex loads ~/.codex/config.toml, then overlays ~/.codex/profile-name.config.toml」。

動手做：建一個「深度審查」profile

第一步，建一個叫 deep-review.config.toml 的疊加檔：

# ~/.codex/deep-review.config.toml
model = "gpt-5.5"
model_reasoning_effort = "xhigh"     # 用最深的推理
approval_policy = "on-request"

第二步，要用它的時候：

codex --profile deep-review

就這樣。沒指定 --profile 時，Codex 用你的主檔 ~/.codex/config.toml；指定了就把對應的 overlay 疊上去。

來源：Advanced Configuration，範例與 --profile 用法逐字相符。

8.4 子程序環境、Windows sandbox 與 -c 一次性覆寫

這節是進階收尾，三個獨立小主題，挑你需要的看。

A. 控制子程序的環境變數：[shell_environment_policy]

當 Codex 幫你跑指令（例如跑測試、跑 build），那些指令是「子程序」。預設它們會繼承你 shell 的一堆環境變數——但有時你不想把某些敏感變數（像 AWS 金鑰）漏給它們。[shell_environment_policy] 就是控制這件事的。

[shell_environment_policy]
inherit = "core"                 # 繼承哪些既有環境變數做基底
ignore_default_excludes = false  # false = 維持自動過濾 KEY/SECRET/TOKEN 類金鑰
exclude = ["AWS_*", "AZURE_*"]   # 額外移除符合的變數（glob）
include_only = ["PATH", "HOME"]  # 只保留符合的變數（glob）
set = { CI = "1" }               # 明確設定 / 覆寫變數

來源：Advanced Configuration + Configuration Reference。Pattern 是大小寫不敏感的 glob（*、?、[A-Z]）。

B. Windows 專屬：[windows] sandbox

🪟 Windows 使用者有一個專屬設定，控制原生 sandbox 用什麼權限模式跑：

[windows]
sandbox = "elevated"     # elevated（官方偏好）| unelevated（企業 fallback）

• elevated：官方偏好的模式；
• unelevated：企業環境的後備選項。

來源：00-MASTER-DOSSIER §6.7，標 確認。

# 錯：\P、\m 不是合法的跳脫序列，輕則解析失敗、重則被讀成錯誤字串
writable_roots = ["C:\Projects\my-app"]

# 對，方案一：改用正斜線（TOML 吃、Windows API 大多數情境也吃）
writable_roots = ["C:/Projects/my-app"]

# 對，方案二：反斜線雙寫跳脫
writable_roots = ["C:\\Projects\\my-app"]

C. 不想改檔？用 -c 做一次性覆寫

有時你只是這一次想換個設定試試，不想真的去改 config.toml。用 --config（短旗標 -c）就能在指令裡臨時覆寫，只對這次生效。

# 換模型（注意：值以 TOML 解析，字串要「雙重引號」避免 shell 吃掉）
codex --config model='"gpt-5.4"'

# 臨時打開工作區寫入模式的網路
codex --config 'sandbox_workspace_write.network_access=true'

# 把這次的 log 寫到指定目錄
codex -c log_dir=./.codex-log

來源：Command line options + Advanced Configuration，codex --config model='"gpt-5.4"' 為官方示範字串。

還有一個相關的乾淨環境旗標，排查「是不是我自己的 config 搞的鬼」時很好用：

# 完全跳過 ~/.codex/config.toml，用乾淨設定重現問題
codex exec --ignore-user-config "你的 prompt"

來源：Command line options，官方逐字：「Do not load $CODEX_HOME/config.toml」。

8.5 一份綜合範例（抄這個改）

下面是把本章常用片段拼成的一份教學範例。不是要你全抄——挑你需要的留下，其餘刪掉即可。每一段語法都對應前面有來源的官方範例。

# ~/.codex/config.toml

# --- 核心模型 ---
model = "gpt-5.5"
model_provider = "openai"
model_reasoning_effort = "high"      # minimal | low | medium | high | xhigh
model_reasoning_summary = "auto"     # auto | concise | detailed | none

# --- 安全：批准 + 沙箱（常見本地組合，非官方欽定預設）---
approval_policy = "on-request"        # untrusted | on-request | never
sandbox_mode = "workspace-write"      # read-only | workspace-write | danger-full-access

[sandbox_workspace_write]
network_access = false
exclude_slash_tmp = false
exclude_tmpdir_env_var = false

# --- 風格與搜尋 ---
personality = "friendly"              # none | friendly | pragmatic
file_opener = "vscode"                # vscode | vscode-insiders | windsurf | cursor | none
web_search = "cached"                 # disabled | cached | live

# --- 子程序環境變數控制 ---
[shell_environment_policy]
inherit = "core"                      # none | core
ignore_default_excludes = false
exclude = ["AWS_*", "AZURE_*"]

搭配一個獨立的 profile 疊加檔：

# ~/.codex/deep-review.config.toml
model = "gpt-5.5"
model_reasoning_effort = "xhigh"
approval_policy = "on-request"

要用 profile 時：

codex --profile deep-review

8.6 🎓 高手進階

前面五節已經夠你日常用了。這一節是給「想把 config 玩到供應鏈防線、CI 防呆、企業強制層」的進階讀者。新手可以先跳過，等你管多台機器、多個專案、或在公司託管環境踩到「設了沒生效」的怪事時再回來。

A. 先校正一個版本硬傷：0.134.0 把 inline profile 廢掉了

8.3 已經教你「一個 profile = 一個獨立 overlay 檔」。這裡把背後的版本斷點講清楚，因為它直接決定你抄到的舊教學會不會失效。

從 Codex 0.134.0 起，profile 機制有一個 breaking change（破壞性變更）：

• --profile 不再從 config.toml 讀取內嵌的 [profiles.profile-name] 區塊；
• 主檔頂層的 profile = "profile-name" 這個「選擇器」寫法不再支援；
• 舊設定要遷移到 ~/.codex/profile-name.config.toml（獨立 overlay 檔）。

來源：Advanced Configuration。官方原文主詞是 --profile：「In Codex 0.134.0 and later, --profile no longer reads [profiles.profile-name] from config.toml, and the top-level profile = "profile-name" selector is no longer supported.」

遷移配方（把舊 inline 改成新 overlay）：

# 舊寫法（0.134.0 後失效）—— ~/.codex/config.toml 裡面
[profiles.deep-review]
model = "gpt-5.5"
model_reasoning_effort = "xhigh"

把區塊標頭 [profiles.deep-review] 拿掉，鍵提到頂層，另存成獨立檔：

# 新寫法 —— ~/.codex/deep-review.config.toml（整檔頂層，不再包區塊）
model = "gpt-5.5"
model_reasoning_effort = "xhigh"

B. 多層優先序的進階細節：monorepo「最近者勝」與 trust 閘門

8.1 給過六層優先序表。進階要補兩個官方逐字細節，管 monorepo 或多專案時很關鍵。

細節一：同層之內，「離工作目錄最近」的那份 .codex/config.toml 勝。

Codex 會從專案根目錄一路走到你目前的工作目錄（cwd），把沿途每一個 .codex/config.toml 都載入；如果多份檔定義了同一個鍵，離 cwd 最近的那份贏。

來源：Config basics，官方逐字：「Codex walks from the project root to your current working directory and loads every .codex/config.toml it finds. If multiple files define the same key, the closest file to your working directory wins.」

細節二：標記為 untrusted 的專案，整個 .codex/ 全鏈被跳過。

8.1 陷阱二講過信任機制。進階要知道它跳過的不只 config：untrusted 專案的 .codex/ 底下的 config + hooks + rules 全部跳過，只有你的 user / system 層會生效。

來源：Config basics，官方逐字：「If you mark a project as untrusted, Codex skips project-scoped .codex/ layers, including project-local config, hooks, and rules.」

C. 供應鏈防線：那 10 個鍵為什麼鎖在專案層之外

8.1 陷阱一列了 10 個「放專案層會被忽略」的鍵。進階要理解這不是 bug，是刻意的供應鏈（supply-chain）安全防線。

把這 10 個鍵分類看，就懂為什麼非鎖不可：

來源：Advanced Configuration 與 Configuration Reference，兩頁逐字列出同一份 10 鍵清單。

D. CI 防呆：--strict-config + -c dot-notation 雙重引號

8.2 介紹過 --strict-config 抓拼錯。進階要強調它在自動化 / CI 的角色，以及搭配 -c 的精準用法。

官方頁沒有版本號，而鍵集合會隨版本漂移（像 0.134.0 砍掉 inline profile）。在 CI pipeline 裡掛 --strict-config，就能讓「舊 config 撞到新版不認得的鍵」當場顯式報錯，而不是靜默吃掉害你以為設定生效。

# CI 防呆：config 含本版不認得的欄位就直接 fail
codex --strict-config exec "run tests"

來源：Command line options，官方逐字：「Error when config.toml contains fields this Codex version does not recognize.」

-c（--config）除了 8.4 教的換模型，還能用 dot notation（點記法） 直接設巢狀鍵，不必寫整段子表：

# 點記法關掉某個 MCP server（debug 用，不動檔）
codex -c mcp_servers.context7.enabled=false

# 點記法臨時開工作區網路（覆寫 network_access=false）
codex -c sandbox_workspace_write.network_access=true exec "npm install"

# profile + -c 疊加：CLI 最高優先，可在選定 profile 後再臨時覆寫單一鍵
codex -p fast-fix -c model_reasoning_effort='"high"'

來源：Command line options 與 Advanced Configuration，dot notation 範例 mcp_servers.context7.enabled=false / sandbox_workspace_write.network_access=true 為官方示範。

E. 企業強制層：requirements.toml（凌駕一切 config）

前面講的所有優先序——CLI 旗標、-c、profile、專案 config——都還有一個更高的天花板壓在上面，就是企業託管的 requirements.toml。個人使用者通常碰不到，但在公司託管機上排查「為什麼我設了 approval_policy = "never" 卻沒生效」時，要第一個想到它。

當 Codex 在解析設定時——不論來自 config.toml、profile 檔、還是 -c 覆寫——只要某個值牴觸了強制規則，Codex 就退回一個相容值並通知你。也就是說 -c / profile / 專案 config 通通擋不住 requirements.toml。

來源：Managed configuration，官方逐字：「if a value conflicts with an enforced rule, Codex falls back to a compatible value and notifies the user.」

強制來源的優先序（cloud 最高）：

1. 雲端託管 requirements（ChatGPT Business / Enterprise）；
2. macOS MDM（com.openai.codex:requirements_toml_base64）；
3. 系統 requirements.toml：🍎 Mac / 🐧 Linux 在 /etc/codex/requirements.toml，🪟 Windows 在 %ProgramData%\OpenAI\Codex\requirements.toml。

可被約束的安全設定包含：批准政策、sandbox 模式、permission profiles、web search 模式等，對應欄位如 allowed_approval_policies、allowed_sandbox_modes、allowed_permission_profiles、allowed_web_search_modes。

來源：Managed configuration，欄位名逐字相符。

F. 接自訂模型供應商：[model_providers.<id>]

8.2.A 提過 model_provider 預設是 "openai"。如果你的公司走自架代理伺服器（proxy）轉發請求、用 Azure OpenAI、Amazon Bedrock，或是在本機跑 Ollama / LM Studio 這類相容端點，可以在 [model_providers.<自訂名稱>] 底下定義一個新供應商，再讓 model_provider 指向它。

一個常見情境：公司要求所有模型呼叫都先過內部 LLM 代理伺服器做稽核與限流，代理伺服器再用一支「產生 token 的指令」動態換發憑證，而不是把長效 API key 寫死在設定檔裡：

model_provider = "proxy"

[model_providers.proxy]
name = "OpenAI using LLM proxy"
base_url = "https://proxy.example.com/v1"
wire_api = "responses"

[model_providers.proxy.auth]
command = "/usr/local/bin/fetch-codex-token"
args = ["--audience", "codex"]
timeout_ms = 5000
refresh_interval_ms = 300000

auth.command 這支程式只要負責一件事：把 token 印到標準輸出（stdout），Codex 會照 refresh_interval_ms（預設 300000 毫秒，即 5 分鐘）的頻率重新呼叫它換發新 token。比起把 API key 明文寫進 config.toml，這個做法讓憑證的簽發、輪替、稽核都留在公司自己的代理伺服器那一側，config.toml 裡完全看不到長效金鑰。

來源：Advanced Configuration，model_providers 表格結構與 auth.command 機制逐字相符。

小結

走完這一章，你會了：

• ✅ 知道 config.toml 放在哪（使用者 / 專案 / 系統三層）、誰說了算（優先序）；
• ✅ 知道 provider / notify / otel / profile 類鍵不能放專案層、不信任的專案 .codex/ 會被跳過；
• ✅ 會抄常用鍵設定模型、批准 / 沙箱、搜尋、風格；
• ✅ 會設定 [tui] 的主題、鍵位、狀態列，也知道多數個人化其實用 /theme、/statusline、/vim 這些 slash 指令邊調邊存更快；
• ✅ 會用獨立 overlay 檔做 profile，一鍵切換「日常」與「深度審查」；
• ✅ 會用 --strict-config、/debug-config 抓拼錯與分層問題、用 -c 做一次性覆寫、用 --ignore-user-config 乾淨重現問題，也認得出「陣列表格 [[ ]] 誤寫成單一表格 [ ]」這類 TOML 語法地雷；
• ✅（進階）知道 0.134.0 把 inline [profiles.NAME] 廢掉、改用 overlay 檔 + --profile；懂 monorepo「最近者勝」、untrusted 跳過全鏈、10 鍵供應鏈防線、企業 requirements.toml 強制層凌駕一切，以及怎麼接自訂 model_providers（proxy / Azure / Bedrock / 本地端點）。

動手試試

1. 建立 ~/.codex/config.toml，寫入 model_reasoning_effort = "high" 與 web_search = "cached"，存檔後跑 codex --strict-config 確認沒拼錯。
2. 建一個 ~/.codex/quick.config.toml，裡面只放 model_reasoning_effort = "minimal"，然後用 codex --profile quick 啟動，感受切換情境的差別。
3. 在 Codex 裡輸入 /model，看看你實機的模型清單，跟你 config 裡寫的 model 對照一下。
4. 在 Codex 裡輸入 /theme，挑一款喜歡的主題即時預覽；喜歡的話選它存回 config.toml，再打開檔案看看多了哪一行。

本章官方文件參考

• Config basics（位置 / 優先序 / 信任專案）：https://developers.openai.com/codex/config-basic
• Configuration Reference（完整鍵清單）：https://developers.openai.com/codex/config-reference
• Advanced Configuration（profiles / providers / shell env / sandbox 範例）：https://developers.openai.com/codex/config-advanced
• Sample Configuration（官方完整範例檔）：https://developers.openai.com/codex/config-sample
• Command line options（旗標、-c / --strict-config / --profile）：https://developers.openai.com/codex/cli/reference
• Sandbox 概念頁：https://developers.openai.com/codex/concepts/sandboxing
• Environment variables（CODEX_HOME 等）：https://developers.openai.com/codex/environment-variables
• Managed configuration（企業 requirements.toml / managed_config.toml 強制層）：https://developers.openai.com/codex/enterprise/managed-configuration