在配置 DeepSeek、通义千问等国内模型时，如果官方路线无法直接满足需求，您可能会考虑使用如 Codex++ 等第三方协议转换工具。由于这些工具会直接接触到您的 API Key、项目代码以及 Codex 运行配置，在安装和使用前必须执行严格的安全审查。

核心风险点

  1. 凭据泄露：第三方程序可能会将您的 API Key 记录在不安全的本地日志中，或意外上传至其服务器。

    2. 2. 供应链攻击：如果安装包来源不可靠，可能包含恶意代码，从而获取您的本地文件读写权限。

    3. 配置破坏：错误的自动配置可能会损坏您的 config.toml 或 AGENTS.md，导致 Codex 无法正常启动。

    安全检查清单 (Safety Checklist)

    在运行任何非官方转换工具前，请确认以下六点：

    • [ ] 来源可靠性：是否仅从 GitHub 原始 Releases 页面下载？严禁使用网盘或第三方分发链接。
    • [ ] 版本校验：是否对比了发布页提供的 SHA-256 哈希值？
    • [ ] 权限最小化：工具是否要求了不必要的“以管理员身份运行”？通常协议转换只需普通用户权限。
    • [ ] 密钥隔离：是否使用了专用且可随时撤销的 API Key，而不是主账号的高额度密钥？
    • [ ] 离线验证：在可能的情况下，先在无外网权限的虚拟机或低风险测试机上运行。
    • [ ] 回滚预案：在工具修改配置前，是否手动备份了 ~/.codex/config.toml？

    发现异常时的操作流程

    如果您在使用过程中发现以下现象，请立即停止：

    1. 非预期网络请求：工具向模型 API 之外的陌生域名发送数据。

      2. 2. 后台进程残留：关闭 UI 界面后，任务管理器中仍有大量 CPU/网络占用的后台进程。

      3. 文件变动异常：在未下达指令的情况下，工具自动修改了项目外的文件。

      卸载与清理

      一旦任务完成或决定停止使用，请务必：

      1. 在服务商控制台立即撤销对应的 API Key。

        2. 2. 通过系统面板卸载工具，并检查 %APPDATA% 或用户目录下是否有配置残留。

        3. 还原您在安全检查阶段备份的原始配置文件。

        ---

        下一步：DeepSeek 配置实操 —— 在确保安全的前提下开始接入。