查 codex 送的重置额度次数过期时间， 在 codex 中输入： --- 请使用本机 Codex 凭证查一下 rate-limit reset credits: 读取 ~/.codex/auth.json 里的 tokens.access_token，请求接口: 要求: 1. 不要打印 access_token、refresh_token、cookie 或完整唯一 ID 2. 只汇总 available_count、每个 credit 的 status/title/granted_at/expires_at 3. 把 granted_at/expires_at 从 UTC 转成本地时间 4. 如果状态码返回 401，说明是凭证失效或没带对 Authorization header

既然 Tibo 看的到我的帖子，那我也认真提两个关于 reset 的建议。 1. Banked reset > 提前预告 reset > reset 完才通知 最理想当然还是 banked reset，让大家自己决定什么时候用；要不然至少提前预告一下 reset 时间也好。 因为对很多重度用户来说，reset 的时间本身就会影响 usage 规划。有人可能刚把 banked reset 用掉，结果没多久又来一次 reset，前面那张基本等于白用了。 Plus 现在又多了一层 5h limit，就算临时知道要 reset，也很难在几个小时内把剩下的 weekly quota 清掉。 所以哪怕做不到 banked reset，提前打个招呼也行，至少让兄弟们有机会先把该烧的额度烧完。 2. Reset 不要顺便把 weekly refresh 往后推 7 天 这点 Claude 的处理我就很喜欢：额外 reset 是额外 reset，原本的 weekly refresh schedule 基本不受影响。 Codex 每次 reset 都会顺带改变下一次 refresh 的时间，对本来就按周规划额度的人来说，福利反而会附带一点副作用。 我们当然爱 reset，但要是时间和 refresh 机制也能再友好一点，那就真的没什么好挑的了。 兄弟们还有什么想改的也可以补充一下，说不定 Tibo 真能看到 👀

小宇宙最顶财经博客第二弹～ 🎧慧客堂： 信息密度大又紧跟市场动态，主播董总快人快语又专业，光听声音都感觉能量满满了，每一分钟都有营养不浪费时间 🎧大方谈钱： 基金小白的启蒙好搭档！不是relax型的播客，听边边记笔记，全程干货不啰嗦，从选基技巧到持仓策略，都给你掰开揉碎了讲，听完就能上手 🎧听懂涨声： 关于家庭财富、房产、投资的播客～主播天楠老师真的是很有人格魅力的内容创作者，擅长把晦涩的金融术语翻译成人话，好多观点会让你感觉“打通任督二脉”，refresh大脑 🎧投资不南： 没有晦涩的术语堆砌，只有实战派基金经理的真诚分享，如果你想在ETF和指数化投资这条路上少走弯路，这档播客就是你的避坑指南

🎁 查询最近 Codex 赠送的 3 次重置权益的有效期，记得要提前用掉。 🤖 Prompt 如下： 请使用本机 Codex 凭证查一下 rate-limit reset credits： 读取 ~/.codex/auth.json 里的 tokens.access_token，请求接口： 要求： 1. 不要打印 access_token、refresh_token、cookie 或完整唯一 ID 2. 只汇总 available_count、每个 credit 的 status/title/granted_at/expires_at 3. 把 granted_at/expires_at 从 UTC 转成本地时间 4. 如果状态码返回 401，说明是凭证失效或没带对 Authorization header

正好拿今天及昨晚两个案例试了试并截图，一个是 Huma Protocol V1 被攻击： Huma Protocol on Polygon was drained for ~$101.39K. Root cause: refreshAccount(address) could move an unapproved credit line from Requested to GoodStanding. Primitive: approval-state bypass in credit lifecycle. _updateDueInfo() sets state = GoodStanding when no periods are missed, without preserving Requested. Profit: - 82,315.571143 native USDC - 19,074.730401 USDC.e Related wallet addresses: - Attacker EOA: 0x13b44e416e0f66359502e843af2e1191f1260daf - Attack borrower contract: 0x44d4a434ae1529106e4b801315e22721978022a3 - Helper: 0xef8a13797b009228f6e4a25112ea114b7ba6e1b2 Tx: - Attack: 0x7b8d641d76affcc029fd0e0f06ab81ad675b1da21ef79b82e1343016040ba359 - Setup requestCredit: 0x0adf9953c4e2506ffd4526ceee962a9bb61c573eaef60f669605cca68d0ef5aa - State refresh: 0x7126ae1d8e8d1e0c0f1c598de16a035cf309d6cc556e73edc2847de2b5777e5e 比较令我满意的是，Agent 自行找出了触发最终利用的一个前置条件 tx State refresh: 0x7126ae1d8e8d1e0c0f1c598de16a035cf309d6cc556e73edc2847de2b5777e5e 另一个是最近可能新起的钓鱼团伙，采用的是 permit 离线签名钓鱼技巧，这个分析其实很简单，如果 Agent 连这种单利用都识别失败，那只能说完全不及格了。 Mark 下，这些都是不错的实践。

如何让「小龙虾」当你的私人助理，帮你管理飞书日历（完整实操版） 如果你每天都在飞书里安排会议、提醒待办、改时间、查冲突，最省时间的方式不是“更努力记”，而是把这些事交给一个稳定的助手自动做。 这篇文章讲清楚： 如何把小龙虾接入飞书日历，实现一句话建日程、改日程、删日程、到点提醒。 说明：本文所有配置示例都已脱敏，未包含任何真实密钥、用户ID、token。 一、最终效果 你可以直接说： “今天 17:00 提醒我下班” “明天 9:30 提醒我发周报” “把今天 15:00 的会议改到 15:30” “帮我看下今天还有几个日程” 然后小龙虾会给你创建和修改删除日历，你可以在飞书日历直接看到小龙虾创建的日程。 二、整体架构（别怕，其实很简单） 这套方案分 3 层： 飞书应用层（你在飞书开放平台配置权限） 身份凭证层（拿到 token，代表“应用身份”或“用户身份”） 日历执行层（调用日历 API 创建/修改/删除事件） 一句话总结： 先让飞书“同意你能操作日历”，再让小龙虾“用对身份去调用接口”。 三、前置准备 你需要： 1、一个飞书开放平台应用（已开启机器人能力） 2、在“事件与回调”中添加以下事件： 日历变更 v2.0（calendar.calendar.changed_v4） 日程变更 v2.0（calendar.calendar.event.changed_v4） 3、在权限管理添加以下权限： calendar:calendar calendar:calendar:readonly calendar:calendar.event:read calendar:calendar.event:create calendar:calendar.event:update calendar:calendar.event:delete calendar:calendar:read offline_access（这个是用户身份权限，不能省，在refresh token需要用到） 四、获取必要的访问凭证 1) tenant_access_token（应用身份） 凭证与基础信息的app id和secret（在openclaw configure接通飞书channel时用到过的）； 2) user_access_token（用户身份） 需要这次授权获取，是本次配置的重点。 步骤 1：配置重定向 URL 在飞书开发者后台： 左侧菜单栏 → 安全设置 → 重定向 URL 填一个地址（告诉小龙虾：将实际发起 API 请求的服务端公网地址配置为重定向 URL）。 步骤 2：打开 OAuth 授权链接 添加后，让小龙虾给你授权链接，在浏览器打开，点击同意授权。 步骤 3：拿到 code 授权成功后，网页会返回一串代码，回调 URL 里会有 code，直接复制给小龙虾。 注意：code 有时效，且一次性使用。把code给小龙虾。 步骤 4：用 code 换 token（这步让小龙虾做就可以） 接口： POST 请求头：Content-Type: application/json; charset=utf-8 关键参数： { "grant_type": "authorization_code", "client_id": "cli_a5ca35a685b0x26e", "client_secret": "baBqE5um9LbFGDy3X7LcfxQX1sqpXlwy", "code": "a61hb967bd094dge949h79bbexd16dfe", "redirect_uri": "" } 成功响应示例： { "code": 0, "access_token": "eyJhbGciOiJFUzI1NiIs...X6wrZHYKDxJkWwhdkrYg", "expires_in": 7200, "refresh_token": "eyJhbGciOiJFUzI1NiIs...XXOYOZz1mfgIYHwM8ZJA", "refresh_token_expires_in": 604800, "scope": "auth: offline_access", "token_type": "Bearer" } 步骤 5：保存并刷新（小龙虾做） user_access_token 有效期较短（约2小时） refresh_token 用于续期（约7天级别） 建议做法： 把 token 管理逻辑做成脚本，自动刷新，别手动维护。 以上，你可以把这个教程直接丢给小龙虾，让她参考。 恭喜你！离拥有24小时AI私人助理又进了一步。 另外，如果你的openclaw很会偷懒，跟你说行不通，可以问飞书开放平台的智能助手（AI开发）怎么操作，然后把回答贴给小龙虾。