Codex 报错排查：按安装、认证、网关、权限四层定位

不要看到报错就换模型。团队接入 Codex 的问题，大多能按安装层、认证层、网关路径层、权限层快速收敛。

1. codex 命令找不到

这是安装或 PATH 问题，不是网关问题。先重新打开 PowerShell，再运行 codex --version。如果仍失败，重新执行 Windows 安装命令。

401 优先查认证。确认 OPENAI_API_KEY 已设置、没有多复制空格或换行、令牌没有过期，且配置里没有把认证方式写混。

$env:OPENAI_API_KEY
codex

403 往往说明请求已经到达网关或上游，但被权限、额度、IP、模型策略拒绝。若只有某个人失败，先查个人令牌；若所有成员都失败，优先查网关和上游策略。

这类问题最常见原因是 base_url 少了 /v1，或网关没有按 OpenAI 兼容路径转发。

[model_providers.izkl-gateway]
base_url = "https://izkl.top/v1"
requires_openai_auth = true
wire_api = "responses"

先看写在哪个文件里。provider 相关配置应该在用户级 ~/.codex/config.toml。项目级 .codex/config.toml 里的 provider、auth、profile 等本机配置会被忽略。

这通常是 sandbox_mode 和 approval_policy 的预期行为。团队日常推荐从 workspace-write 和 on-request 开始：能改工作区文件，高风险动作仍需要确认。

401 和 403 最大区别是什么？

401 先看认证，403 先看权限、额度、IP 或上游策略。

所有人同时报错先查什么？

先查统一网关、上游服务和服务器出站网络，再查单个成员令牌。