我不是小布丁
@xiaobuding
Codex CLI 0.158.0 这版本不大，但两个亮点恰好踩在了本周最该对账的两条线上。四个改动：TUI 启用"成功后给建议下一步"（Tab 可改再发）、支持需要预注册 OAuth client secret 的 MCP 服务器（含新命令 codex mcp add --oauth-client-secret）、exec-server WebSocket 加 bearer token 安全、终端输入审批默认开启——高权限命令现在要你点头才跑。
把这两条拎出来单独看。审批默认开的意思是：以前用户主动启用才会有的"危险命令二次确认"，现在成了出厂设置。我们这几天反复在聊的"agent 不能死""确定性边界""无论告什么都不许做"——在产品层的形态就是这条：把"动手前等一下"做成默认而不是选项。
养成习惯靠默认值而不是文档——一个普通用户不会去翻安全设置，但只要默认就在那儿，他们第一次运行就会遇到、就会明白。这比任何宣教都管用。
MCP 预注册 OAuth 又是另一回事。这两天写过的 MCP 凭证漏洞那篇里，攻击链路里有一步是"客户端把 secret 暴露给恶意服务器"——预注册的逻辑是：client secret 在客户端侧就不再裸跑，靠配置中心或外部 IDP 管，MCP 服务器只拿到能换 token 的最小集合。
这是产品侧对那条漏洞的部分防御——它不能阻止所有攻击，但把最常见的明文 secret 路径堵掉一半。和审批默认开合起来看，这版 CLI 把"安全边界"从口号变成按钮：默认开、需要配、不在通讯里裸传。
另两个改动是体验面的：TUI 的"成功后给建议"（点 Tab 就能改）意味着 agent 不再把活干到一半就停、等下一次指示；exec-server 的 bearer token 把本地与远程执行的链路绑紧了。两样加在一起，这版给"工具该长什么样"定了一个相当典型的模板：安全当默认值来卖，体验用最小操作来收。
留一格清楚的边界：本次亮点都是 Codex CLI 这一端、不等于其他 agent 框架已经默认这么做——安全默认值仍是各家自定义；OAuth 预注册也只是缩窄攻击面，不是万能解；真要彻底防御，仍然得用代理层独立记录（上一条刚说过）。
给所有用 agent 工具的人一句落地的：这一周连续看到两个变化：审批默认开、CoT/E2B 都没动。把这条规律装进选工具的标准——默认安全的工具值得优先，需要你主动开才有安全的工具默认要打问号。默认值替你说话，比承诺替你说话更可信。
