CI 里用 --ephemeral 和临时 CODEX_HOME

会话记录可能含密钥。临时家目录 + 不落盘，避免 runner 之间残留凭据。

export CODEX_HOME="$RUNNER_TEMP/codex-home"
codex exec --ephemeral --sandbox workspace-write \
  --ask-for-approval never \
  "只跑失败的测试并总结。"

再叠加：

不要把 CODEX_API_KEY 设成整个 job 的 env（见安全章）
用官方 openai/codex-action 隔离凭据
需要审计再关 ephemeral，并把日志当机密处理

来源

Codex Knowledge Base · Environment variables ↗