| title | 隐私与安全 |
|---|---|
| description | codex-notify 读取哪些本地信息、如何保存密钥，以及用户可以如何撤销变更。 |
codex-notify 采用本地优先设计：没有项目运营的中转服务、账号系统、遥测或行为分析。
为了生成通知，工具可能读取：
- Codex 提供的完成事件；
- 当前任务内容和最终回复；
- Codex 会话标题、时间和工作目录；
- 本地会话记录中的完成状态和异常信息；
- 当前用户的
config.toml和hooks.json。
这些内容只在本机处理，并直接发送给你配置的飞书接收者。待发送的完成事件会暂存在 codex-notify 的本地状态目录，发送成功后即从队列移除；队列和去重记录都有数量上限。
消息平台设置和凭据统一保存在用户目录下的 ~/.codex-notify/config.toml。App Secret 是明文，采用本地文件是为了简化跨平台安装、升级、备份和未来消息平台扩展。
在 Unix 系统上，codex-notify 会把 .codex-notify 目录权限设为 700，把原子写入的配置文件权限设为 600。Windows 则依赖当前用户目录的访问控制。状态、诊断和日志不会显示或记录 App Secret。
从使用系统凭据库的旧版本升级时，程序会读取一次旧 App Secret，将旧版 config.toml 备份后写成新版统一配置，并尝试删除旧凭据。旧版平台应用数据目录会复制到 ~/.codex-notify；原目录暂时保留，只用于保证升级失败时旧程序仍可回退。
不要提交、公开分享或放宽 config.toml 的文件权限；能够读取该文件的程序或用户也能够取得消息平台凭据。
- 修改 Codex 配置前会创建带时间戳的备份；
- 重新配置 codex-notify 时，旧
config.toml的备份也会包含当时的明文凭据，并保存在同一个受限应用目录下； - TOML 和 JSON 会经过解析后修改，不使用容易破坏格式的文本替换；
- 现有 notifier 和无关 Hook 会保留；
- 未知或损坏的 Computer Use 包装不会被强行覆盖；
- 配置写入采用原子替换，并支持符号链接目标。
正常使用时会连接：
- 飞书开放平台：获取应用访问令牌并发送消息；
- GitHub：仅在检查更新、升级或运行安装脚本时访问发行版。
项目不会把任务内容发送到其他第三方服务。
codex-notify uninstall卸载会停止后台服务、移除自身 Hook 和凭据，并恢复已记录配置原有的 notifier。详细行为见升级与卸载。
- 不要把 App Secret 或完整的
~/.codex-notify/config.toml放进 Shell 脚本、截图、代码仓库或问题报告； - 飞书应用只开通发送消息所需的最小权限；
- 使用群聊接收通知前，确认群成员都可以查看任务内容；
- 分享
status --json或doctor --json前，对邮箱和本地路径进行必要脱敏。