不要讓 Codex CLI 預設取得整台 Mac 的讀寫權限：先以只讀範圍檢查程式碼，再只開放課程專案需要的寫入，並逐項核對敏感檔案、網路和命令批准。這份 Codex CLI 遠端 Mac 權限設定清單適合使用 Windows、沒有本機 Mac，或準備在遠端環境處理 Xcode 課程專案的初學者。
如果你只想理解程式碼，先維持只讀；需要修改時，再擴大到專案目錄。不要把遠端桌面能操作 Mac，誤認為 Codex CLI 已取得同樣的系統權限。
使用 Windows、正在找方法完成 Xcode 課程專案的學生：先核實遠端 Mac 上的工具和檔案存取條件。
使用 Codex CLI 修改課程程式碼的初學者：確認讀取、寫入和執行命令是分開檢查的。
準備使用遠端 macOS 的學習者：先向服務提供方確認帳號、權限和工具條件是否符合課程要求。
最後更新於 2026 年 11 月 7 日；權限功能與官方文件依據官方權限說明、Codex CLI 參考文件及Apple Xcode 系統要求核對。Codex 權限功能仍在迭代，實際行為應以當下文件和你使用的遠端環境為準。
Codex CLI 遠端 Mac 權限設定，先看讀取與寫入範圍
先把工作拆成讀程式碼、修改檔案、執行命令。這些動作影響的範圍不同，不應用一個「允許 Codex」的籠統選項代替逐項檢查。
例如，你請工具解釋 Swift 專案的資料流，通常先確認它能讀取相關檔案即可；若要修正程式碼，才考慮開放工作區寫入；若要建置或測試，還要另外確認命令執行和批准流程。每增加一種能力，就多核實一個邊界。
「工作區」可以想成你交給工具整理的桌面範圍。桌面上放著課程專案，不代表桌面之外的個人資料夾也必須開放。官方權限文件說明，權限設定可依檔案系統和網路規則限制本地命令的存取；但你仍須檢查實際生效的範圍，不能假設啟動 CLI 時所在的資料夾就是唯一可讀寫的位置。Codex 權限文件也提醒，這套設定仍在迭代。
只讀檢查適合哪些課程任務
只讀適合用來理解程式碼、尋找可能的錯誤或請工具說明檔案用途。它不會自動代表修改功能已開放，也不能代替你核實遠端帳號本身能存取哪些檔案。
若你打算讓 Codex CLI 修改課程專案，先用官方設定檔基礎說明核對設定方式與有效範圍，再確認寫入只涵蓋該專案。不同版本的設定名稱或行為可能調整，不要照抄舊教學中的參數後，就假定限制已生效。
敏感檔案要另外檢查，不能只靠專案範圍
課程專案不一定包含憑據，但你仍應檢視檔案內容。像 .env 這類環境變數檔可能存放 API 金鑰或登入憑據；不要假設每個專案都有，也不要因為它位於專案資料夾裡，就一併交給工具讀取或修改。
實務上，先檢查倉庫中是否有憑據、私人資料或不應提交的檔案，再核對拒絕規則是否涵蓋相應路徑。依官方權限說明，拒絕規則可用來限制特定檔案或路徑的存取；它和較寬的專案寫入範圍應一起檢查。設定規則不等於安全備份，也不能保證機密不會因其他操作外洩。
檢查時可問自己：如果工具提出修改設定檔，我是否知道它會改到哪裡？若答案是否定的，先不要批准。先備份專案，再用不含敏感資料的範例驗證讀寫範圍。
網路存取和檔案存取是兩回事
下載課程依賴套件時，可能需要網路連線；讀取專案檔案則是另一種權限。允許命令使用網路，不代表你已限制它只能連到某個網站；反過來，檔案範圍有限，也不代表網路存取已受限制。
官方文件指出，啟用網路和網域限制的生效條件並不相同。若課程工具透過代理連線，還要核對代理及相關設定是否符合官方文件要求。不要把某個開關描述成所有遠端 Mac 都有的統一防護，也不要在沒有驗證的情況下，認定網域限制已經生效。
先列出課程實際需要下載的依賴，再依官方文件核對目前設定及代理條件。若你不確定工具會連到哪些網域，應先向課程提供者或遠端環境管理方確認，而不是直接放寬所有網路限制。
執行命令前，逐項確認批准流程
讀取程式碼、修改檔案、執行建置或測試命令，是不同的操作。命令可能讀取專案內容、產生新檔案，或呼叫外部服務；因此，允許修改檔案不等於已批准所有命令。
在批准提示出現時，先辨認命令用途、影響路徑，以及是否會使用網路。若你看不懂命令做什麼，先要求解釋，不要為了讓作業快速完成就直接批准。Codex 命令批准與安全說明和CLI 參考文件可用來核對當下的選項和批准行為。
還要分清 Codex CLI 的命令權限，與遠端桌面、SSH 或其他工具自己的控制方式。這些控制面不會因為你能登入遠端 Mac，就自動合併成同一個安全開關。若提供方交付的帳號權限不清楚，先查閱遠端 Mac 使用與支援資訊，再開始處理課程檔案。
用低風險任務驗收實際邊界
做完設定後，不要只看畫面上的選項。用不含敏感資料的測試專案，逐項確認實際效果。這份可勾選清單把檔案、網路和命令分開，完成一項再進行下一項：
- [ ] 先準備一份可還原的課程專案副本，確認裡面沒有需要保護的憑據。
- [ ] 在只讀範圍請 Codex CLI 檢視 Swift 程式碼，之後比對檔案內容，確認沒有未預期的變更。
- [ ] 開放必要寫入後，請工具修改一個無敏感內容的測試檔，確認變更落在課程專案內。
- [ ] 檢查工作區以外的個人路徑是否仍被限制，並確認拒絕規則對敏感檔案確實生效。
- [ ] 需要下載課程依賴時，分開核實網路設定、代理條件與網域限制，不以「可以上網」推論限制已完成。
- [ ] 執行建置或測試前，閱讀命令和批准提示；不清楚影響範圍時，先停止並查閱 CLI 文件。
- [ ] 按課程要求核實 Xcode 與 macOS 條件，再測試專案建置或執行。Apple 的 Xcode 系統要求會列出相應條件；不能只因遠端桌面可連線，就推定工具版本和權限都符合要求。
如果只讀檢查會改動檔案，或寫入測試影響了課程專案以外的位置，先停止使用並重新核對生效規則。保留修改前的副本，再確認遠端環境管理方是否限制了你可調整的設定。
常見問題
只讀設定能不能檢查 Swift 專案？
可以把只讀作為理解程式碼的起點，例如請工具說明檔案關係或找出可疑邏輯。但它不代表能修改檔案，也不保證所有路徑都可讀。你仍要核對工作區、拒絕規則和遠端帳號的實際存取範圍。
怎麼避免 Codex CLI 修改課程專案以外的檔案？
先確認工作區的實際路徑，再依官方設定文件限制寫入範圍。透過不含敏感資料的測試檔驗證修改位置，並檢查專案外路徑是否受到限制。不要只憑啟動 CLI 的位置推斷限制已生效。
環境變數檔會不會被讀取？
要依檔案位置、拒絕規則和遠端帳號權限核實，不能只從 .env 副檔名判斷。先檢查專案是否真的含有這類檔案，再確認工具無法讀取不應交付的憑據；權限規則不能取代備份與憑據管理。
修改後要怎麼驗收？
先比對只讀測試前後的檔案，再測試限定範圍內的寫入，最後分別檢查敏感檔案、網路設定和命令批准。要建置或執行 Xcode 專案時，也要另外確認遠端 Mac 的 macOS、Xcode 和課程要求相符。
選遠端 Mac 前，先確認課程真正需要的條件
只用 Windows 做一般程式練習，通常不必為了 Codex CLI 特地使用遠端 Mac；但若課程要求 Xcode，Windows 本機不能直接提供原生 macOS 開發環境。透過遠端桌面操作，還要考量網路連線、檔案取回和服務端帳號權限；而遠端 Mac 是否已具備所需工具，也必須逐項確認。
因此，先對照課程要求，確認遠端環境能否安裝或執行所需工具，以及你是否能設定需要的權限。若你手邊沒有 Mac，而課程確實需要 Xcode，並且遠端條件已核實，可以查看 osxmesh 方案說明評估租用；若需長期高負載使用或依賴實體裝置連接，則應先比較自購 Mac 或其他符合課程要求的方案。
常見問題
怎麼讓 Codex CLI 只修改課程專案？
先採用只讀範圍檢視專案，再依官方權限文件設定限定工作區的寫入範圍。確認實際生效的工作目錄與拒絕規則後，以一個可復原的小檔案測試；不要只憑啟動時所在目錄推斷其他路徑無法存取。
只讀權限可以用來檢查 Swift 專案嗎？
只讀設定適合先請 Codex CLI 檢視程式碼、整理檔案關係或說明錯誤，不代表它能完成需要改檔或執行命令的任務。是否能讀取特定檔案，還要看實際工作區、拒絕規則和遠端帳號的可存取範圍。
Codex CLI 會讀取遠端 Mac 上的 .env 嗎？
不能只看檔名或桌面連線方式下結論。.env 可能含有憑據，應先檢查專案內容，再確認拒絕規則是否涵蓋該路徑、遠端帳號是否能讀取，以及目前權限設定是否生效。不要把權限規則當成備份或保密措施的替代品。
修改課程專案後，如何驗證權限範圍？
用不含敏感資料的小任務分開測試讀取、寫入與命令執行：先確認只讀工作不會改檔，再確認寫入只落在課程專案內，最後檢查敏感檔案與網路行為。保留變更前的副本，並依課程要求另行驗證 Xcode 建置條件。