该仓库是一个面向安全研究与风控验证的 Python 工具集，用于研究 OpenAI/Codex 相关的 SSO 工作区邀请、推荐流程、配额限制、并发邀请、Token 生命周期与账号激活遥测行为。它不是一个通用业务 SDK，而是偏向反欺诈、安全测试和边界条件复现的研究型工具。项目需要配合 Keycloak SAML IdP 与已验证的 OpenAI Workspace 邮箱域名使用。
适用领域
安全研究 / 反欺诈风控 / SSO/OAuth/SAML 身份认证 / 工作区邀请与推荐流程分析 / 并发与竞态条件测试 / Token 生命周期研究 / 自动化账号流程测试 / 企业身份与访问管理 IAM
配置难度
较高。使用者需要理解 OAuth、SSO、SAML、Keycloak、Workspace 域名验证、Token 生命周期、HTTP 代理、并发测试和反欺诈风控模型。对普通 Python 开发者而言，上手难点主要不在代码运行，而在实验环境搭建、授权边界确认和结果解释。
商业价值
未知
01
技术亮点
- 覆盖 SSO 登录、邀请、批量邀请、激活模拟等完整研究链路。
- 支持单账号和 CSV 批量模式，便于构造可重复实验。
- 支持并发执行，适合研究配额限制和竞态条件。
- 明确强调敏感数据不入库，.gitignore 对运行目录、Token、CSV、日志等进行了保护。
- 与 Keycloak SAML IdP companion repository 配套，适合构建完整的企业 SSO 测试环境。
- README 中给出了从种子账号登录、邀请、提取被邀请账号到激活模拟的端到端示例流程。
- MIT License，便于研究和内部二次开发。
- GitHub 星标 223、Fork 132，说明该项目在相关研究圈层已有一定关注度。
02
目标用户
- 企业安全团队
- 风控策略团队
- 反欺诈工程师
- 身份认证/IAM 工程师
- 红队或安全研究人员
- 负责 SSO、OAuth、SAML 集成的后端工程师
- 研究 OpenAI Workspace 或类似 SaaS 邀请机制的技术人员
03
配置要求
- 必须具备隔离的研究租户或测试 Workspace，不应在生产环境或未授权环境中运行。
- 需要已部署并配置好的 Keycloak SAML IdP。
- 需要目标邮箱域名已在 OpenAI Workspace 中完成验证。
- 需要准备测试邮箱账号及密码 CSV 文件，但不得提交到 Git。
- 需要配置代理参数，例如 --proxy http://127.0.0.1:PORT，具体取决于测试环境网络要求。
- 需要为运行结果准备本地目录，例如 runs/example/seeds、runs/example/invitees。
- 需要注意 .gitignore 已排除 accounts、runs、CSV、auth JSON、日志等敏感运行数据。
- 如需处理 JSON 结果，可安装 jq 用于提取邀请结果中的邮箱。
- 批量操作时需要合理设置 --concurrency、--retries、--per-account 等参数，避免对服务造成异常压力。
04
适用场景
- 复现 SSO 场景下的账号创建与登录流程
- 验证工作区邀请和推荐配额在并发请求下是否存在竞态问题
- 比较用户级别与工作区级别推荐限制的差异
- 批量登录种子账号并发起邀请请求，用于评估配额控制是否可靠
- 对被邀请账号进行批量登录与激活流程模拟
- 分析 Token 刷新、激活状态、账号生命周期中的异常行为
- 为反欺诈系统设计更强的服务端校验、限流、配额和异常检测策略
- 在隔离测试租户中构建邀请滥用场景并验证防护效果
05
部署与配置
- 准备 Python 3 环境，建议使用 Python 3.10 或更高版本。
- 克隆仓库：git clone https://github.com/Tyxy-R/codex-referral-risk-research.git
- 进入项目目录：cd codex-referral-risk-research
- 创建虚拟环境：python3 -m venv .venv
- 安装依赖：.venv/bin/pip install -r requirements.txt
- 准备 companion repository：先部署 https://github.com/Tyxy-R/chatgpt-sso-keycloak 中的 Keycloak SAML IdP。
- 在 OpenAI Workspace 中完成目标邮箱域名验证。
- 按照 examples/accounts.example.csv 的格式准备本地 CSV 文件，格式为：email,password。
- 使用 codex_protocol_login.py 批量登录种子账号并输出认证文件。
- 使用 codex_invitation_batch.py 批量执行邀请与配额探测。
- 从邀请结果中提取成功被邀请邮箱，再使用 codex_protocol_login.py 登录被邀请账号。
- 使用 codex_activation_batch.py 执行激活遥测模拟。
06
风险与注意事项
- 该项目具有明显的双重用途属性，既可用于合法风控研究，也可能被滥用于绕过邀请配额、批量注册或账号激活。
- 涉及认证文件、Access Token、Refresh Token、ID Token、账号 ID、邮箱密码等高敏感数据，若本地管理不当会造成严重泄露风险。
- 如果在非授权的真实服务环境中运行，可能违反平台服务条款或法律法规。
- 并发邀请和批量登录测试可能触发平台风控、账号封禁、IP 限制或审计告警。
- 研究结果依赖目标服务端当前实现，平台策略变化后脚本可能失效。
- README 未提供完整的合规边界、授权流程或安全审计建议，团队使用前需要自行建立操作规范。
- 项目描述中明确研究推荐配额、竞态、激活遥测等敏感机制，企业内部使用时应限制访问权限。
- 未从 README 中看到自动化测试、CI、类型检查或完整错误处理说明，生产级稳定性未知。
2026-06-20
第29名
新收录 · github_search
