让 ChatGPT 直接改本地代码

很多所谓的 AI Agent 动不动就给你一个全权限的 Bash 终端，作为安全工程师，我看到这种设计就头大——万一 Prompt 注入或者模型抽风，删库跑路也就是一瞬间的事。CodexPro 比较聪明的地方在于它把“权限边界”写在了骨子里，它不是给 ChatGPT 开后门，而是给它定义了一套严格的工具集。

简单说，它通过 MCP（Model Context Protocol）把你的本地仓库变成一个受控的资源池。ChatGPT 能读文件、搜代码、打补丁，但它不能随便在你的系统里乱搞。

最让我在意的是它的部署逻辑，它没搞什么复杂的云端代理，直接走本地隧道。

实操部署流程

如果你想试水，步骤大概是这样的：

一、安装并初始化

npm install -g codexpro
cd /your/project/path
codexpro setup

二、配置 ChatGPT 接入
运行 setup 后会给你一个 Server URL。去 ChatGPT 的 Settings -> Apps -> Advanced settings -> Create app 里把这个 URL 填进去。注意鉴权选 None，因为 CodexPro 自带 Token 校验，不用重复造轮子。

三、启动服务

codexpro start

为什么这个方案比直接给 Shell 靠谱？

很多工具号称是 Agent，其实就是个套壳的 exec()。CodexPro 做了很多硬限制，这才是它的核心竞争力：

写权限受控： 除非你手动设置 CODEXPRO_WRITE_MODE=workspace，否则泛泛的写入操作是被隐藏的。

Bash 过滤层： 它拦截了大量危险的 Shell 模式，屏蔽了敏感的 Secret 路径和缓存文件夹。

补丁校验： apply_patch 拒绝符号链接补丁，还会检查补丁内容里是否包含敏感信息。

这种“防御性设计”才是我想要的开发体验。它把 ChatGPT 限制在一个特定的工具集里：read → search → edit → show_changes → bash (受限)。

关于内网穿透的吐槽

由于 ChatGPT Web 端必须访问 HTTPS 链接，这玩意儿得依赖隧道。它支持 Cloudflare Tunnel、ngrok 和 Tailscale。

如果你对安全有强迫症，建议走 Tailscale Funnel。虽然配置起来最麻烦（得搞定 MagicDNS 和证书），但起码你知道流量是怎么走的。

# Tailscale 模式下的运行逻辑（简化版）
tailscale funnel http://127.0.0.1:8787

最后说一句，这个工具最让我舒服的一点是它在 README 里明确说了自己“不是什么”。它不装逼，不吹嘘能替代程序员，只定义好自己的边界。这种克制在现在的 AI 项目里真的不多见。