error: invalid value '<value>' for '--sandbox <SANDBOX_MODE>'

⚠️ 標準エラーに出て、終了コードは 2 です。 起動前に弾かれるため、通信も課金も発生しません。

error: invalid value 'bogus' for '--sandbox <SANDBOX_MODE>'
  [possible values: read-only, workspace-write, danger-full-access]

--sandbox に渡せる値は3つだけです。⭐ メッセージ自身が候補を全部並べてくれます。

⚠️ full-auto や auto は --sandbox の値ではありません。 よくある取り違えです。

1. 目的に合う値を選ぶ

codex exec --sandbox read-only "このコードを説明して"
codex exec --sandbox workspace-write "テストを追加して"

⭐ 迷ったら read-only から始めてください。 説明・調査だけなら書き込みは要りません。

2. 書き換えさせたいときは workspace-write

作業フォルダの外には触れないので、事故の範囲が限定されます。

⚠️ danger-full-access を既定にしないこと。 名前のとおり、ホームディレクトリでも設定ファイルでも書き換えられる状態になります。

3. 毎回渡すなら設定ファイルに書く

~/.codex/config.toml に書けば、起動のたびに渡す必要がなくなります。

sandbox_mode = "workspace-write"

⚠️ ただしキー名を打ち間違えても、設定ファイル側はエラーになりません（黙って無視されます）。まずコマンドラインで動くことを確かめてから移してください。

4. 候補をその場で確認する

codex exec --sandbox "" "x"

⭐ わざと不正な値を渡せば、その版で使える値が一覧で出ます。 覚えておく必要はありません。

• 値を記憶で書かない。メッセージに出る [possible values: ...] をその場で見る
• 既定を read-only にして、必要なときだけ広げる
• danger-full-access は、壊れても困らない環境でのみ使う