当前只维护最新 Windows 预览版。任务目标、输出、路径、备注和历史记录可能包含私人信息。不要上传 data/、.cache/、runtime.json、访问令牌文件、浏览器启动链接或未脱敏日志。

HTTPS 服务只绑定 127.0.0.1。MCP、启停入口和原生挂件先校验数据目录中的固定服务证书，再发送随机 Bearer 令牌；端口被其他程序占用或证书不匹配时拒绝连接，不降级到 HTTP。所有 /api/ 读取、实时订阅和控制仍保留 Host、Origin 与写请求头校验。原生挂件由主进程为本窗口、本服务的 API 注入认证头。浏览器凭据链接已停用，启动脚本统一打开原生挂件。

证书通过 Windows PowerShell / .NET 在内存中生成，不写入系统证书库。数据目录中的 tls-live.json / tls-demo.json 含私钥，必须与访问令牌一样保密。真实与演示身份隔离，证书有效期两年；损坏、过期或公私钥不匹配时拒绝启动，不自动覆盖。公开源码检查覆盖全部导出文本中的聊天标识，并拒绝导出运行凭据文件。

此机制不防御已经能读取数据目录、浏览器会话或同用户进程内存的程序。Windows 文件权限取决于数据目录继承的 ACL；Node 的 mode 参数不能建立额外 Windows 用户隔离。请把数据放在个人用户目录；不支持多人共享、反向代理、对公网暴露或不可信本机管理员场景。

重置凭据或更换过期证书前先停止服务、挂件及旧客户端，备份数据，再成对移除对应的 access-live.token 与 tls-live.json（演示模式为 access-demo.token 与 tls-demo.json）。下次启动创建新令牌和证书。不要删除任务状态文件来解决登录问题。

挂件仅允许审阅完整命令的命令执行审批。文件变更审批、空命令以及含未展示权限字段的请求会拒绝并暂停，需用户在原 Codex 中检查、处理；不会用缺少补丁内容的“允许”按钮授权文件写入。

MCP 工具不能创建、恢复、开启持续工作/监测或开启调度，也不能更改执行上限与额度策略。这些授权必须在挂件中手动操作；MCP 保留查询、暂停、结束、暂停导入和关闭调度。该边界约束 Continuer 的工具接口，不防御已拥有本机命令执行能力或能读取数据目录的其他工具。

审批详情令牌使用 POST 正文传输，不放入 URL。未知内部 HTTP 异常返回固定提示；明确的输入校验错误保留可读说明。API 使用独立的未认证、读取、写入请求预算，耗尽返回 429，不能据此保证抵御本机进程的持续资源耗尽攻击。窗口拒绝离开固定挂件页面的导航及重定向，禁用开发者工具；CSP 禁止 base、表单提交和插件对象。

新建任务在访问文件系统前拒绝 UNC、设备命名空间、盘符相对路径；恢复的直接执行任务在调用 Codex 前再次检查。只接受本地盘符绝对路径。字符串检查不识别已有映射网络盘或本地重解析点的最终目标，请使用自己信任的项目目录。

任务名、活动、错误及日志可能包含私人内容。Windows 下文件保护依赖继承的 ACL，不能把 Node 的 0600 当作额外用户隔离；不要共享数据目录。当前凭据轮换使用上文的停机重置步骤，没有在线自动轮换入口。

仓库已启用 GitHub Private vulnerability reporting，请通过 私密漏洞报告 或仓库 Security → Report a vulnerability 私下报告。请勿把可利用细节或私人日志放在公开 Issue。提供版本、最小复现和脱敏影响说明，不提供凭据或真实聊天数据。

这是独立社区工具。原聊天接续受账号额度及 Codex 自身审批、沙箱和执行端状态约束，不绕过额度或权限限制。