auth / auth-json-safety · 約 6 分

auth.json をパスワードとして扱う

権限を確認し、中身を開いて貼らない練習をします。

学習目標

auth.json は access token を含みます。公式はパスワード同様に扱え、チケットやチャットに貼るな、と書いています。 ^[codex-auth]

前提

ファイル保存を使っていること。keyring の場合はファイルが無いことがあります。

なぜ必要か

中身を教材に貼ると、その時点で資格情報が漏れます。

実行場所

実機。workspace 外の home を見るので、判定コマンドは学習者機の実ファイルに対して走ります。

keyring を使う設定例です。

cli_auth_credentials_store = "keyring"

値は file / keyring / auto / ephemeral です。 ^[codex-auth]

ls -l ~/.codex/auth.json

cat しないでください。権限がグループや other に読めるなら、chmod 600 を検討します。

成功結果

ls -l でファイル名と権限だけが見えます。中身の JSON はターミナルに出ていません。

失敗対処

ファイルが無い場合は keyring か未ログインです。codex login status に戻ります。