个人默认、项目覆盖、一次性 CLI
~/.codex/config.toml 放个人习惯，.codex/config.toml 放仓库行为，CLI 只覆盖这一次。
推荐分工：
- 个人：
~/.codex/config.toml（模型、主题、个人 MCP、默认推理强度） - 项目：
.codex/config.toml（仅受信任项目加载） - 一次性：
codex -c key=value或--sandbox/--model
优先级从高到低：
- CLI 与
--config - 从仓库根走向 cwd 的项目
.codex/config.toml（靠近的赢；只在受信任项目加载） - 选中的 profile 文件（
~/.codex/<name>.config.toml） - 用户配置
~/.codex/config.toml - 登录后下发的云托管
config.toml默认值 - 系统
/etc/codex/config.toml（Windows 对应%ProgramData%\OpenAI\Codex\） - 内置默认
把目录标成未信任时，项目层的 .codex/（含 config、hooks、rules）整层跳过，用户和系统配置仍在。企业天花板另走 requirements.toml，不是这一条覆盖链。
CLI、IDE 扩展和桌面 App 共用这些层。