Codex CLI 的 read-only、workspace-write 和 danger-full-access 是策略层配置，真正的隔离由操作系统后端执行。本文把源码级分析和常见 Linux/macOS 沙箱原语放在一起，说明每层解决什么问题、边界在哪里。