引言被误解的 auth.json在 OpenAI Codex 的日常使用中auth.json文件常常被开发者从网上搜索、复制粘贴当作一个普通的“配置文件模板”来使用。这是一个极其危险且普遍存在的误解。本文将深入解析auth.json的本质、正确的管理方式以及当它可能泄露时的应急处理流程帮助您建立安全的凭证管理习惯。auth.json 的本质它是密码不是配置OpenAI 官方文档明确指出Codex CLI 的登录凭证可能被缓存在两个地方文件存储默认位于~/.codex/auth.json。操作系统凭证存储如 macOS 的 Keychain、Windows 的 Credential Manager。当使用文件存储时auth.json应当被视同密码对待。它包含了用于访问 API 的敏感认证令牌其安全等级与您的 API Key 本身相同。找不到 auth.json 是正常的如果您在~/.codex/目录下没有找到auth.json文件这并不代表您未登录。很可能是因为您的系统配置为使用更安全的keyring系统凭证存储模式。凭证被加密保存在操作系统的安全区域而不是明文文件中。配置项cli_auth_credentials_storeCodex 通过config.toml中的一个关键配置项来决定凭证的存储位置# 可选值file | keyring | auto cli_auth_credentials_store keyringfile凭证以明文或简单编码形式缓存在CODEX_HOME通常是~/.codex目录下的auth.json文件中。这是最不推荐的方式。keyring使用操作系统提供的安全凭证存储服务。这是最安全的推荐方式。auto优先尝试使用系统凭证存储如果不可用则回退到file模式。哪些情况绝对不应该手动编辑 auth.json请您牢记在以下场景中直接创建、修改或分享auth.json都是错误且危险的操作只想切换模型模型配置属于config.toml中的model或default_model字段。只想修改 Base URLBase URL 配置属于config.toml中的base_url字段。只想配置自定义 ProviderProvider 配置通常通过config.toml或环境变量设置。从搜索引擎找到一个“auth.json 生成器”这类工具会要求您输入 API Key 并生成文件这相当于将您的密钥拱手送给第三方风险极高。准备把文件发给客服、提交 Issue 或分享到群聊任何时候都不应分享完整的auth.json文件。如需技术支持应提供脱敏的配置片段或错误日志。核心原则模型、Provider、Base URL 等属于配置应通过config.toml管理而 API Key 等凭证应通过安全的登录流程或环境变量注入。正确的登录与排错流程当遇到认证问题时请遵循以下官方流程而非直接操作auth.json检查状态首先运行以下命令查看当前登录状态。codex login status安全登出如果需要清除当前凭证使用官方命令。这会安全地清除凭证存储中的信息。codexlogout重新登录按照官方流程重新认证。codex login或在命令中直接提供密钥注意在共享环境或脚本中慎用避免历史记录残留。codex login--keysk-xxx...重要优先使用codex logout命令而不是手动删除整个~/.codex目录以免误删其他重要配置。紧急情况如果 auth.json 可能已泄露如果您不慎将auth.json文件内容截图分享、误提交到 Git 仓库或怀疑其已泄露请立即执行以下步骤立即止损停止继续分享该文件、截图或任何包含凭证的内容。撤销凭证立即前往对应的 AI 服务平台如 OpenAI, AI Code With 等在 API Key 管理页面撤销Revoke或轮换Rotate泄露的密钥。这是最关键的一步。清理痕迹检查 Git 历史记录使用git filter-branch或 BFG Repo-Cleaner 等工具彻底删除包含敏感信息的提交。检查您可能提交过的工作单Ticket、聊天记录或文档并请求删除。验证失效确认旧密钥已无法使用。安全提醒截图时应对敏感字段如key,token进行整体隐藏或完全打码而不是只遮挡中间几位。局部遮挡可能通过上下文被推测出来。最佳实践以 AI Code With 为例AI Code With 平台的文档虽然提供了将平台 API Key 写入 Codex 认证文件的配置方式但从长期安全和维护角度出发我们建议遵循更佳实践专钥专用为 Codex CLI 单独创建一个用途明确的 API Key而不是复用其他项目或工具的密钥。永不分享完整文件永远不要把完整的auth.json当作“可分享的配置文件”进行传播。遵循平台建议AI Code With 的 API Key 文档也建议为不同用途创建独立密钥并强调完整 Key 仅在创建时显示一次。这本身就是一种安全导向的设计。更稳健的流程为 Codex 创建独立 Key→通过 codex login 安全注入→密钥泄露则单独轮换→不影响其他业务这不仅是产品的安全暗线也是符合现代凭证管理理念的合理方式。总结与相关阅读管理auth.json的核心是转变认知它是一把“钥匙”而不是一张“说明书”。请通过安全的登录流程管理它通过配置文件和环境变量管理其他设置并为不同工具使用独立的密钥。相关阅读OpenAI Codex 认证官方文档AI Code With 创建与管理 API KeyCodex 环境变量配置指南Codex config.toml 配置详解