用途：为新安装或待整顿的 Codex 建立最小基线，只覆盖安全性、可执行性与验收质量，不把个人模型偏好、插件清单、密钥、绝对路径或复杂工作流当作通用初始化。
两种模式：GLOBAL_SETUP 仅在新装或重整时执行一次，处理全局 config.toml、global AGENTS.md、profile 与客户端健康；PROJECT_ONBOARDING 在每个项目首次接入时做轻量检查，不重做全局配置，也不复制全局 AGENTS.md。
主要能力：运行 scripts/audit-codex-init.sh 取得只读快照，原样调用 codex doctor 并另列配置文本，不联网、不写入、不读取密钥字段；变更前说明将修改的文件与理由，涉及升级 CLI、安装插件/MCP、认证、联网、提交、发布或放宽权限时等待用户确认；保留用户已有有效配置。
六项最小基线：先体检再决定是否升级，记录 CLI 与 Desktop App 各自版本，落后时只报告 codex update 与回滚条件；默认最小权限，推荐 approval_policy = "on-request" 与 sandbox_mode = "workspace-write"，审查用 read-only profile，可选 review、dev、deep 三个 profile；AGENTS.md 分层且短，全局只放跨项目偏好与安全边界，项目根只放项目事实；让项目可复现启动，记录本机跑通的最小验证命令；把请求写成含目标、范围、验收、交付物的任务合同；固定实施—验证—交接，报告实际改动与验证证据。
交付格式为体检结论、拟做变更、验证证据、使用方式四段。限制：不自动升级、不默认全自动或危险权限、不替换包管理器或重写锁文件、不为小改动建立复杂流程；冲突时以官方文档与本机 codex --help 为准。