Codex CLI MCP 配置与安全使用指南

MCP 适合连接会变化的外部数据与动作，例如官方文档、工单、数据库或受控业务 API。静态仓库规则应放 AGENTS.md，可复用的本地流程应放 Skill，不要为每项需求都引入一个常驻服务器。

每个 MCP Server 都扩大工具表面和信任边界。安装前确认维护者、传输方式、需要的凭据、可执行动作和数据去向。

先添加一个用途明确的只读服务器，熟悉配置、发现工具和移除流程。OpenAI Developer Docs MCP 提供公开文档检索，不需要在命令中放入密钥。

远程 HTTP 服务器使用 --url；本地 stdio 服务器在双横线后提供可执行命令。只有确认来源可信时才允许 Codex 启动本地服务器进程。

stdio 配置会由 Codex 启动本地命令，并可通过 --env 传入该进程专用环境变量。HTTP 配置连接 URL，可通过 --bearer-token-env-var 指定保存 token 的环境变量名称。

参数只写环境变量名，不要把 token 值直接写进命令或配置。OAuth 服务使用 codex mcp login，具体能力取决于服务器。

添加服务器后，用提示词说明应使用哪个来源、允许执行哪些动作以及是否需要只读。不要默认让工具写工单、修改数据库或发送消息。

外部内容可能包含提示注入或错误信息。Codex 应把工具结果视为数据，关键决策仍要与仓库证据和官方来源交叉验证。

共享 MCP 配置应经过代码审查或管理员管理，个人凭据留在用户环境。工具名称、用途和负责人需要可追踪，过期服务器应及时移除。

服务器能访问的数据不代表当前任务都应读取。遵循最小权限，尤其不要把生产数据库、私人文档和外发消息能力同时交给宽泛提示词。

先确认配置存在，再检查服务器进程或 URL、认证和 Codex 诊断。stdio 失败要在同一用户环境手工运行服务器的 --help；HTTP 失败先验证 DNS、TLS 和组织代理。

移除只删除 Codex 中的服务器配置，不一定撤销远程 token。完成停用后还要在服务端撤销凭据。