CDP 注入安全吗？拆解 Dream Skin 的工作机制

CDP 到底是什么

CDP（Chrome DevTools Protocol）就是你按 F12 打开的开发者工具背后的调试协议。每个 Electron 应用（包括 Codex 桌面端）都能在本地端口上暴露它。Playwright、Puppeteer、VS Code 调试器，全都建立在这个协议之上。

Dream Skin 以绑定 127.0.0.1（回环地址）的 CDP 端口启动官方 Codex。这意味着该端口只有本机已运行的进程才能访问，永远不会暴露到局域网，更不会暴露到互联网。

引擎做了什么，绝不做什么

启动时，macOS 引擎会先校验它即将启动的应用：bundle 标识、代码签名、Team ID、架构。然后通过 launchd 带调试端口启动 Codex，等待预期的 app:// 渲染目标出现，注入 CSS 和一段装饰性横幅 DOM。全部戏法就这些——一张样式表加几个 div。

引擎绝不修改 .app 包、app.asar 或代码签名；绝不读取或改写你的 API Key、Base URL、模型供应商配置——项目把换肤和 API 配置当作严格分离的两件事。官方更新照常安装，因为磁盘上的应用一个字节都没被动过。

诚实的威胁模型

回环 CDP 端口没有鉴权。皮肤会话运行期间，你机器上的任何进程理论上都可以连上这个端口操纵 Codex 渲染层。这是唯一真实的注意事项，项目在文档里公开说明，而不是藏着掖着。

实际暴露窗口是有限的：端口只在皮肤激活时存在；注入器只在端口属于已校验的 Codex 进程时才接受；一键 Restore 即可全部停止。如果你的机器上经常跑不可信软件，那问题比任何主题都大——但这也正是用完就该还原官方外观的场景。

为什么这比改 app.asar 好

另一种换肤思路——解包并修改 app.asar——会永久改变已安装的应用：破坏代码签名、可能触发完整性校验、官方更新后残留损坏状态，而且很难干净地回退。

运行时注入把这些属性全部反转：二进制保持签名完好、更新永不冲突、还原是即时的（磁盘上本来就没改过任何东西）。对一层纯装饰来说，"设计上即用即弃"才是正确的架构。

实用建议

只从官方仓库下载引擎，并读一遍脚本——都是简短的 shell 和 PowerShell 文件，写出来就是给人审计的。每次换肤结束运行 Restore，共用机器上尤其要这样做。保持引擎更新，项目会跟进上游 UI 变化。