提交前安全检查清单

很多任务真正出问题，是在“准备提交”的最后五分钟。提交前必须有一张清单，把最后一道最容易漏的关卡补上。

> 前置教程：团队里怎么约定 Codex 使用边界

> 如果你还没有建立“哪些动作必须人工确认”的意识，先看前置教程。

> 依据来源：OpenAI Codex 官方手册中关于 diff、review、command execution、approvals、workflow 的说明。

学习目标

学完后，你应该能做到：

知道提交前至少要检查哪些东西。

2. 知道哪些问题必须先停下来。

3. 知道如何让 Codex 按清单自查。

4. 知道用户最后还要看哪几眼。

5. 知道什么时候“先不提交”反而更专业。

核心认知


Codex 可以帮你改、帮你查、帮你总结
但最后准备进入仓库时，用户必须看最终结果


提交前必看的 5 个维度
1. 修改范围 (Scope)
确认改动是否只在相关文件里，有无带出无关文件，有无混入历史问题。
2. Diff 质量 (Diff Quality)
确认变化是否与任务目标一致，有无莫名其妙的格式化、无关重命名或误删。
3. 敏感信息 (Secrets)

检查是否带入了 .env、token、密钥、Cookie、内网地址或用户隐私。


4. 检查状态 (Validation Status)
明确做了哪些最小必要检查，如果没做，原因是什么。
5. 提交说明 (Commit Message)
确保提交说明不虚（如 fix, update），至少回答“改了什么”和“为什么改”。
什么时候该“先不提交”

任务还没做完，或者还有未验证的风险。
改动范围明显超出任务。
包含敏感信息。
你自己看 diff 时觉得“不太对劲”。

实战：让 Codex 做提交前自查


请先不要提交 Git。
请按下面清单完成提交前检查：


检查当前改动涉及哪些文件。

2. 判断这些文件是否都属于本次任务范围。
3. 查看 diff，并用中文说明每个主要改动和任务目标的关系。
4. 检查是否存在无关改动、顺手修复或历史问题混入。
5. 检查是否包含 .env、token、密钥、Cookie、用户隐私信息或其他敏感内容。
6. 说明本次任务已经做了哪些最小必要检查，哪些还没做。
7. 如果存在风险或未确认项，请单独列出。
8. 最后判断：现在是否适合提交。
请按下面格式回复：
改动范围

修改文件：
是否超出范围：

Diff 说明

主要改动：
是否有无关变化：

安全检查

是否发现敏感信息：
是否发现高风险改动：

检查状态

已完成检查：
未完成检查及原因：

提交判断


是否建议现在提交：
提交前还需要我确认什么：


用户最后必看的 4 个点
哪怕 Codex 已经自查了，你自己最后也要看：


文件列表
2. 关键 diff
3. 检查结论
4. 风险提示

常见问题处理
多个任务混在一起了
建议一轮任务结束先做提交前检查，确认能否单独成一个提交。不要等改了很多轮再一次性收口。
提交说明写不出来
可以这样说：


请基于当前实际 diff，给我写 3 个简洁的中文提交说明候选。
要求：


不要夸大范围。

2. 不要写空话。
3. 用“做了什么”为主，不要写营销式描述。


总结

以后准备提交，先在心里过一遍：范围对不对，diff 清不清楚，敏感信息有没有，检查做到哪一步，还有没有没说清楚的风险`。

做到这里，如果你已经形成下面这些习惯，就说明本篇已经起作用了：

提交前先看范围，不是先想“快点提交”。

2. 会看 diff 是否和任务目标一致。

3. 会检查敏感信息有没有混进去。

4. 会确认最小必要检查做到哪一步。

5. 风险没讲清楚时，知道先停。