Codex CLI 登录失败怎么办？ChatGPT、API Key、Device Code 与凭据缓存排查

先说结论：认证方式决定了权益、计费和可用功能

这篇文章适合 Codex CLI 打开浏览器后无法返回终端、提示登录过期、API Key 登录失败、IDE 与 CLI 账号不一致、远程服务器没有浏览器，或每次启动都要求重新认证的开发者。OpenAI 当前说明，本地 ChatGPT 桌面端、Codex CLI 和 IDE 扩展都支持两种个人认证：使用 ChatGPT 登录以使用订阅访问，或使用 API Key 以按量计费方式访问；Codex cloud 则要求使用 ChatGPT 登录。

排查前先确定目标：个人本地开发通常可用 ChatGPT 登录；CI/CD 等程序化本地 CLI 工作流通常使用 API Key，按 OpenAI Platform 标准 API 费率计费，不会消耗 ChatGPT 套餐内的 Codex 权益。API Key 登录还可能缺少依赖 ChatGPT 工作区或云服务的功能。选错方式时，即使登录成功，也可能出现“额度或功能不符合预期”。

可从GPTUPCN 首页进入本站 Codex 实践栏目。GPTUPCN 是第三方中文技术与服务入口，并非 OpenAI 官方；认证方式、套餐权益、API 计费、组织策略和命令行为应以当前 OpenAI 官方文档及实际安装版本为准。

30 秒分流：你卡在登录链路的哪一层

先运行状态检查，再对照现象。不要一开始就删除整个配置目录，也不要把 auth.json、API Key 或浏览器回调地址完整贴到公开问题中。登录问题和 MCP、沙箱、仓库权限是不同层级；只有认证通过后再排查后续工具。

第一步：用状态命令确认当前认证方式

OpenAI 文档给出的基础命令是 codex login status，用于查看当前活动认证方式；codex logout 用于清除已存储凭据。先记录状态和准确错误，再决定是否退出重登。若环境使用 workload identity，登录和退出命令会被拒绝，因为认证由进程环境控制，这不是缓存损坏。

ChatGPT 浏览器登录的标准入口是 codex login，在无有效会话时它会打开浏览器完成流程。浏览器返回凭据后终端才算完成。若登录的是错误账号或工作区，退出后用正确的原账号重登；ChatGPT Plus / Pro 订阅与账号绑定，不能用另一个邮箱的登录会话替代。

• 记录 codex login status 的认证类型，不要截图暴露密钥或令牌
• 确认浏览器最终登录的是预期 ChatGPT 账号和工作区
• 先升级或确认 Codex CLI 版本，再按该版本的帮助信息核对参数
• 认证成功后再处理 MCP、仓库或沙箱问题，避免混淆层级

第二步：区分 ChatGPT 登录与 API Key 登录

ChatGPT 登录适用于订阅访问，并继承 ChatGPT 工作区权限、RBAC 及相应的数据策略。API Key 登录适用于 OpenAI Platform 的按量访问，遵循 API 组织的计费和数据设置。Codex cloud 必须使用 ChatGPT 登录；API Key 主要用于本地和程序化工作流。

官方 CLI 示例要求通过标准输入把环境变量中的 Key 传给 codex login --with-api-key。这样可以避免把密钥直接写进 shell 历史、脚本参数或截图。不要把真实 Key 写进仓库、配置示例、问题单或聊天。若认证后发现云功能或插件不可用，先确认这是否是 API Key 认证的功能边界，而不是继续重试登录。

第三步：浏览器回调失败时，优先使用 Device Code

远程服务器、无头设备或本机网络阻止 localhost OAuth 回调时，标准浏览器流程可能停在“网页已登录、终端没收到结果”。OpenAI 当前文档建议优先考虑 Device Code authentication（Beta）：先在个人 ChatGPT 安全设置或工作区权限中启用，然后运行 codex login --device-auth，在浏览器打开给出的地址并输入一次性代码。

Device Code 是否可用取决于账号或工作区设置，不能假设每个环境都已开放。如果不可用，官方还说明可以在可信、有浏览器的机器完成登录后，把 auth 缓存安全复制到受信任的无头设备，或通过 SSH 转发默认 localhost:1455 回调。但 auth.json 含访问令牌，复制方案只适用于你控制的私有机器；不要上传网盘、工单或公共仓库。

第四步：理解 CLI 与 IDE 为什么会一起掉线

Codex CLI 和 IDE 扩展共享缓存登录信息。从任一侧执行退出后，下一次启动另一侧也需要重新登录。ChatGPT 登录令牌在正常使用中会自动刷新，因此频繁要求重登通常要继续检查缓存写入权限、凭据库可用性、系统时间、网络或组织策略，而不是反复打开多个登录窗口。

凭据可能保存在 ~/.codex/auth.json，也可能进入操作系统凭据库。cli_auth_credentials_store 可设为 file、keyring 或 auto：file 保存到 CODEX_HOME 下的 auth.json；keyring 使用系统凭据库；auto 优先系统凭据库，无法使用时回退到文件。生产和共享电脑更适合系统凭据库，但应先确认当前系统支持和组织规范。

第五步：企业网络、私有 CA 与强制工作区

企业 TLS 代理或私有根证书可能让浏览器、HTTPS 或安全 WebSocket 在登录时失败。官方文档允许在登录前设置 CODEX_CA_CERTIFICATE 指向 PEM 证书包；未设置时会回退到 SSL_CERT_FILE。只使用组织提供并验证过的证书，不要从未知帖子下载根证书，也不要通过关闭 TLS 校验来绕过问题。

管理员还可以通过 managed configuration 强制 forced_login_method 为 chatgpt 或 api，并用 forced_chatgpt_workspace_id 限定工作区。当前凭据与限制不匹配时，Codex 会退出并结束。因此“一登录就被踢出”不一定是密码错误，应向管理员核对允许的认证方式、工作区成员资格和席位。

第六步：用登录专用日志提交最小证据

OpenAI 当前文档说明，直接运行 codex login 会在配置的日志目录写入专用 codex-login.log，可用于浏览器登录或设备码失败排查。提交前搜索并遮蔽访问令牌、API Key、邮箱、文件路径和组织标识，只保留错误时间、阶段、状态码和必要上下文。

问题单应说明操作系统、Codex 版本、认证目标、命令、是否为远程/无头环境、是否存在代理或私有 CA、codex login status 的认证类型，以及重现时间与时区。认证通过但 MCP 不显示时，再转到Codex MCP 连接排查；认证通过但无法访问仓库，可参考GitHub 仓库授权排查。

结论：先选对身份，再修回调和缓存

最短排查路径是：确认需要 ChatGPT 订阅访问还是 API 按量访问；运行 login status；核对账号与工作区；标准浏览器回调失败时改用获准的 Device Code；最后检查共享缓存、凭据库、企业 CA 和强制策略。不要为解决登录问题删除整个项目或复制真实令牌。认证稳定后，再按Codex 新项目启动清单和Codex 权限与沙箱实践继续验证工作流。