掌握 config.toml：用户默认、项目覆盖与一次性参数

个人默认位于 ~/.codex/config.toml；可信仓库可在 .codex/config.toml 中加入项目级覆盖。CLI 与 IDE 共享这些配置层，项目未被信任时，项目内 .codex 配置、hooks 与 rules 会被跳过。

从高到低依次是 CLI flags 与 --config、从项目根到当前目录的项目配置、选中的 profile、用户配置、系统配置、内置默认值。把临时实验留在命令行，把稳定个人偏好放用户配置，把团队约定放项目配置。

优先显式设置 approval_policy 与 sandbox_mode，再按需要处理网络、MCP 和 shell 环境变量。不要从不明来源整段复制配置；未知字段应对照当前配置参考核验。

approval_policy = "on-request"
sandbox_mode = "workspace-write"
web_search = "cached"

[sandbox_workspace_write]
network_access = false