针对代码助手的安全挑选，别只看是否开源，重点要盯它能读什么、默认传什么、数据去哪、能不能审计关闭。拿WorkBuddy实测，它能读.env、Chrome Cookie这类敏感文件，虽没默认整仓上传，但部分遥测找不到明确关闭入口，属于中等风险，处理私有代码得先做安全配置。