调研日期：2026-07-18。结论：不要追求“全部安装”，而要安装与你真实工作系统对应的最小插件集。 开发者通常从 GitHub、Superpowers、Browser、Codex Security 起步；办公用户在 Google Workspace 与 Microsoft 365 中二选一，再补齐本地文档插件。

一、先把四个概念分清

Codex 的扩展生态已经不再是传统 IDE 那种“一个插件等于一个功能”。官方对 Plugin 的定义是：把可复用工作流及其依赖能力打包分发的容器。一个插件可以只含 Skill，也可以同时包含 Connector、MCP Server、浏览器能力、Hook 和定时任务模板。

图 1：Codex 插件的组成。 Skill 负责“怎么做”，Connector/MCP 负责“能访问什么、能执行什么”。

这一区分会直接影响安全决策：安装一个纯 Skill，主要风险是它如何指导 Codex；连接 Gmail、GitHub 或生产数据库，则会引入真实数据访问和外部写操作风险。

[!IMPORTANT]
截至调研日，官方插件目录是动态市场。当前这台机器通过 codex plugin list 可见约 180 个 OpenAI Curated 条目，但目录会随版本、套餐、地区、工作区策略和账号权限变化。因此“所有插件的永久名单”并不存在，本文介绍的是当前常用类别与高价值代表。

支持范围

官方资料显示，Plugins 可用于 ChatGPT 网页版 Work mode、ChatGPT 桌面端的 Work mode/Codex，以及 Codex CLI 的插件浏览器；不支持 Chat mode、IDE 扩展和移动端。Skill 的范围更广，可用于桌面端、CLI 和 IDE 扩展。安装插件后通常需要新建任务或 CLI 会话，新增的 Skill 与工具才会进入上下文。

二、常用插件全景介绍

下面不是把 180 个条目逐个抄一遍，而是覆盖开发、办公、设计、数据和经营中最常见、最有决策价值的插件。一个简单判断标准是：它是否连接了你每天都在使用的系统，或者是否提供了本地无法替代的工作流。

2.1 通用生产力与本地文件

这些插件主要操作当前工作区中的文件，不等于自动连接 OneDrive 或 Google Drive。需要访问云端资料时，应另装对应 Connector 插件。

2.2 研发全流程

GitHub 是 GitHub 团队最接近“必装”的连接器。它能让 Codex 直接获取 PR、Issue、CI 和发布上下文，减少在浏览器与终端间搬运信息。若团队用 GitLab 或其他平台，不要为了插件而迁移工作流。

Superpowers 属于方法 论型插件，不连接业务账号。它把需求澄清、计划、测试驱动开发、系统调试、代码评审和完成验证做成一组 Skills。它适合中大型改动；对一次性的两行修复，完整流程可能显得过重。

Browser 与 Chrome 不同：Browser 适合测试 localhost、文件页面和内置浏览器；Chrome 会使用用户现有的标签页、登录态、Cookie 与扩展。能用专用 Connector、API 或 CLI 时，应优先专用能力，Chrome 只作为依赖现有登录态的兜底。

2.3 DevOps、部署与可观测性

这里没有“越多越好”。Vercel、Netlify、Cloudflare 通常按实际托管平台择一；Sentry 和 Datadog 可以共存，但只有两套系统都在生产中承担明确职责时才值得同时安装。连接生产环境时，先开只读访问，再逐步放开部署、配置和数据写入。

2.4 日常办公与知识管理

最合理的办公配置是按组织生态成套选择：

• Google 团队：Gmail + Google Calendar + Google Drive。
• Microsoft 团队：Outlook Email + Outlook Calendar + Teams + SharePoint。
• Slack 与 Teams 只安装团队真实使用的一个；Notion、Confluence、Linear 也按事实来源选择，避免同一份项目状态散落在多个连接器中。

[!WARNING]
邮件、聊天和日历插件可能发送消息、修改会议或共享资料。默认保留确认步骤；不要把权限设为“Never ask”，除非动作范围极窄、可回滚且经过组织审批。

2.5 设计、研究、数据与经营

这些插件的价值高度依赖组织数据。比如没有规范的事件埋点，安装 Mixpanel 并不会自动得到可信漏斗；没有统一 CRM 字段，连接 HubSpot 也可能只是更快地产生脏数据。先治理数据源，再开放写操作。

三、不同场景的必备组合

“必备”不是插件商店里的星级，而是对你的日常任务有稳定覆盖。下面的套餐都遵循最小权限与避免重复原则。

3.1 软件开发者

建议起步： GitHub + Superpowers + Browser + Codex Security，再保留内置 Documents/PDF/Spreadsheets/Visualize。

按技术栈补充：前端团队加 Figma；OpenAI 应用加 OpenAI Developers；线上排障按现有平台加 Sentry 或 Datadog；部署平台在 Vercel、Netlify、Cloudflare 中择一；数据库在 Supabase、Neon Postgres 中按实际使用选择。

一个典型流程如下：

图 2：开发插件的职责链。 每个插件对应一个事实系统，避免多个插件重复负责同一环节。

3.2 产品经理与日常办公

通用基础： Documents + PDF + Spreadsheets + Presentations + Visualize。

再从组织生态中选择一套：

• Google 套餐：Gmail + Google Calendar + Google Drive。
• Microsoft 套餐：Outlook Email + Outlook Calendar + Teams + SharePoint。
• 项目与知识：Linear、Notion、Atlassian Rovo 三者按团队实际系统选择。
• 会议较多：补充 Zoom；对外视觉内容较多：补充 Canva。

3.3 数据分析、研究与管理层

数据分析： Spreadsheets + Visualize + 已在使用的 BI/产品分析插件。需要先确认指标定义、数据权限和查询成本。

研究写作： Documents + PDF + Zotero；做正式论文再加 LaTeX，做汇报再加 Presentations。

管理层： 邮件 + 日历 + 文件系统 + Slack/Teams + 组织唯一知识库。管理层不宜直接开放生产部署、数据库写入和财务操作，优先只读汇总与审批后执行。

3.4 一句话决策矩阵

四、你当前环境的插件现状

本次通过 Codex CLI 0.145.0-alpha.18 的 codex plugin list 实测，而不是仅根据缓存目录推断。当前已安装并启用：

这意味着你已经具备完整的本地办公文件处理、网页验证、登录态浏览器操作、可视化和工程方法 论能力。当前最明显的空缺是外部系统连接：GitHub、任务管理、企业通信、网盘、监控和部署插件尚未安装。

针对当前环境的优先级建议：

1. 开发工作先安装 GitHub 与 Codex Security。
2. 如果做前端，安装 Figma；如果主要做后端，则先不装。
3. 在 Sentry/Datadog、Vercel/Netlify/Cloudflare 中仅选真实在用的平台。
4. 办公侧根据公司账号选择 Google 套餐或 Microsoft 套餐，不要默认两套全装。
5. Chrome 已启用，但只在专用连接器不可用且任务依赖现有登录态时使用。

五、安装、使用与验证

5.1 查看与安装

桌面端可进入 Plugins 页面，点击加号安装。CLI 可用以下命令：

# 查看 Marketplace 与安装状态
codex plugin list
# 打开交互式插件浏览器
codex
/plugins
# 示例：安装 GitHub 与安全扫描插件
codex plugin add github@openai-curated
codex plugin add codex-security@openai-curated
# 卸载不再使用的插件
codex plugin remove github@openai-curated

安装后新建任务或 CLI 会话。需要外部账号的插件会在安装时或首次使用时要求登录。不要把 OAuth 令牌、Cookie 或连接串贴进对话或写入仓库。

5.2 调用与验收

可以直接描述目标，让 Codex 自动选择已安装能力，也可以输入 @ 指定插件或其 Skill。每个新插件至少完成一次只读验收：

六、安全、权限与常见误区

插件安装、Connector 连接、外部服务授权和 Codex 运行权限是四个独立层次。安装成功不代表已经连接外部服务；卸载插件也不会自动断开已连接的 Connector，仍需在 ChatGPT 的 Apps 设置或服务提供方撤销授权。

推荐权限策略

• 初次安装先只读，验证数据范围后再决定是否开放写操作。
• 个人账号至少选择“Any changes”或默认的“Important actions”，关键动作保留确认。
• 企业环境按角色分配插件，不让所有成员默认获得生产、财务或客户系统权限。
• 对 Hook、MCP Server、浏览器扩展逐项审查；安装插件不代表应自动信任其 Hook。
• 每季度复查负责人、用途、授权范围与最后使用时间，淘汰闲置插件。

四个常见误区

1. 把 Skill 当成 Connector。 Skill 能教 Codex 走流程，但不会凭空获得 Gmail、GitHub 或数据库权限。
2. 认为插件越多，能力越强。 大量 Skill 会占用初始上下文预算，重复工具也会增加错误路由和权限面。
3. 同时安装所有替代产品。 两套邮箱、三套部署平台、多个项目系统只会造成事实源冲突。
4. 卸载等于撤权。 官方明确说明，卸载插件后 Bundled Connector 可能仍保持连接，必须单独断开。

七、最终建议与参考资料

对大多数开发者，最实用的第一阶段组合是：现有本地插件 + GitHub + Superpowers + Browser + Codex Security。对大多数知识工作者，最实用的组合是：Documents + PDF + Spreadsheets + Presentations + 一套邮件/日历/网盘生态。之后只有当某项工作每周真实发生时，才加入 Figma、Sentry、Vercel、Notion、Canva、Zotero 或行业插件。

可以用下面三个问题决定是否安装：

1. 这个插件是否连接我真实使用的系统，或提供无法替代的稳定流程？
2. 它每周能否节省至少一次上下文搬运或重复操作？
3. 我是否清楚它能读取什么、能写入什么、如何撤权？

只有三个答案都明确，才值得长期启用。