Codex 如何建立 Dev、Staging、Production 权限隔离

账号与角色应按环境拆分

不建议共用同一套账号和角色。更稳妥的做法是为 Dev、Staging、Production 分别配置独立的权限组或角色，并按最小权限原则分配访问范围。开发环境可以开放较多写权限，预发环境保留测试与验证所需权限，生产环境只保留必要的只读、发布和审批权限。

生产访问应走受控流程

生产环境建议只开放受控访问通道，比如 MFA、多因素认证、短期凭证、堡垒机或跳板机。日常变更尽量通过 CI/CD 流水线发布，不鼓励手工登录修改。紧急情况下可以给临时权限，但要绑定工单、时间范围和操作审计，便于追踪与回收。

敏感信息要环境独立管理

每个环境都应使用独立的密钥库、数据库账号和配置项，避免复用同一份 secret。开发环境适合使用脱敏数据和低权限账号，预发环境尽量接近生产但不包含真实敏感数据，生产环境的密钥只对少数受信任服务和授权人员开放。这样即使某个环境出问题，也不容易波及其他环境。

临时权限应有时效和边界

临时授权应当绑定申请理由、到期时间和环境范围，权限只覆盖当前任务所需的资源。可以使用时间限定角色、一次性令牌或即时授权机制，任务结束后自动回收。配合审计日志和告警规则，可以减少越权和遗留权限带来的风险。