配置没生效，先 /debug-config，不要猜哪一层赢了
按优先级打印实际加载的文件、开关和托管策略来源。抄博客键名时用 --strict-config，未知键会直接报错。
/debug-config
输出从低优先级到高：系统 → 用户 → profile → 项目 → CLI。同时列出 allowed_approval_policies、allowed_sandbox_modes、mcp_servers、rules、enforce_residency、experimental_network 这类托管约束。网页 Work 不读 ~/.codex，在本地 TUI 里查到的层解释不了网页行为。
一次运行把未知键当错误，而不是默默忽略：
codex --strict-config
codex --config model_reasoning_effort='"high"'
有专用旗标就用旗标（--model、--sandbox、--profile）。-c / --config 覆盖任意支持键，且优先于所有配置文件。企业 requirements.toml 天花板不会被项目文件顶掉，诊断里会写来源。