建议用官方Codex和Claude，写好Agents.md安全规则，警惕第三方插件

建议只用官方的Codex和Claude，并且一定要在项目根目录写好Agents.md安全规则。

可以直接抄这条“不可违反”的指令：👇
绝不读取、输出或复制明文Token、密码、密钥、Cookie等敏感内容。
涉及 .env、secrets、config.yml 等敏感文件时，除非用户明确要求，否则只能查看非敏感结构，所有凭据必须做掩码处理。

最后提醒一句，别完全信任任何第三方插件，哪怕是VS Code里的各种扩展都要留个心眼，小心它们偷偷读取你的Access Token。