Codex CLI 0.147 上线：插件能带着走了

8 月 7 日，Codex CLI 发了 0.147.0。一条 npm install -g @openai/codex@0.147.0 的事，但里面塞的东西不少。

可移植插件 + 统一目录搜索

这次最实在的更新是 Agent Plugins 可以安装成”可移植”的了，而且本地、个人、工作区、远程四个 plugin catalog 能统一搜索。

以前团队里一个人写了个好用的插件，别人要用得手动折腾一遍环境。现在这条路被打通——插件从”我机器上的脚本”变成了可以在组织内流转的资产。

MCP 2026-07-28 协议进来了

0.147 可选支持 MCP 的 2026-07-28 版本，带 分页发现、多轮请求、非阻塞 server 启动。

非阻塞启动这条别跳过。以前一个 MCP server 起得慢，整个 CLI 就卡在那儿等，体验极差。现在不等了。分页发现则意味着你可以挂几十上百个工具而不至于把上下文撑爆。

安全方面的三条硬改动

这次 bug 修复里有几条值得单独拎出来说：

1）显示的命令和重放的对话历史里，secret 和完整 bearer token 会被隐去。别笑，这是无数团队踩过的坑——日志里躺着明文 token，谁看日志谁就是管理员。

2）用凭据前，要求你显式信任不熟悉的本地项目。你 clone 了个陌生仓库，里面藏了个恶意配置，以前可能直接就跑了。现在得你点头。

3）加固插件隔离，策略更新失败时直接拒绝网络访问。fail closed 而不是 fail open，这才是对的默认值。

还有一堆体验修补

新增 --approve-for-me flag 自动评审审批请求；对话能整理进可持久化、可手动排序的 section，长 transcript 可以渐进浏览；为 Amazon Bedrock 启用了缓存式 web search 和远程对话压缩。

Windows 用户也终于等到了：后台进程能正确中断了，文件系统路径处理一致了。日文字符、emoji、超链接、视口边缘文本的渲染和光标定位也修了。

一句话总结

0.147 没有那种”哇”的大功能，但它在做一件更重要的事：把 Codex CLI 从一个好用的玩具，变成一个能进组织、能过审计、能被团队共享的工程运行时。

插件可移植、目录可搜索、协议可扩展、凭据可管控。这四件事凑齐了，才叫基础设施。

—— 圈圈