Codex 配置卡住时，先别急着重复制 API Key。最常见的问题，是把“怎么登录”“请求交给哪个 Provider”“请求发到哪里”“调用哪个模型”当成同一项设置。它们要分别确认。
这篇只处理一个任务：让你在本机把 Codex 的认证和模型调用路径配清楚，并能用错误信息判断下一步该查哪里。安装步骤请看站内的 Codex 安装教程。
先选认证路线：ChatGPT 登录还是 API Key
使用 OpenAI 模型时，Codex 支持两种本地登录方式：用 ChatGPT 账户登录，或使用 OpenAI Platform API Key。前者使用 ChatGPT 工作区或订阅对应的权限与额度；后者按 OpenAI Platform 的 API 计费。两种方式都能用于本地的桌面端、CLI 与 IDE 扩展，但依赖 ChatGPT 工作区或云端的功能，可能不会在 API Key 方式下可用。
官方对两种方式及适用范围的说明见：Codex Authentication。如果只是开始使用官方 Codex，先完成其中一种登录即可；不要同时把多个来源的凭证塞进配置文件。
把四项配置分开看
API Key 负责证明“谁有调用权限”。Provider 决定 Codex 使用哪一家模型服务。Base URL 或 Endpoint 决定请求实际发往哪里。Model ID 决定最终请求的模型。一个 Key 正确，并不能补偿 Provider、地址或模型名的不匹配。
这也解释了常见现象：换了三次 Key 仍然 404，通常不是 Key 的问题；能打开 Codex 却提示 model not found，通常要核对模型 ID 和当前 Provider。
官方 OpenAI 路线：先登录，再检查状态
若使用 ChatGPT 登录，请在 Codex 的登录入口完成浏览器授权。若使用 OpenAI Platform API Key，则从 OpenAI 的密钥管理页面创建并妥善保存密钥。不要把完整密钥粘进聊天、工单、仓库或截图；文件式凭证存储下的 auth.json 应按密码对待。
登录完成后，先在当前客户端确认已登录的账户或 API Key 状态；需要切换路线时，先退出当前凭证，再重新选择一种方式。CLI、IDE 扩展与桌面端会复用部分本地登录缓存，因此“我改了一个地方，另一个地方还在用旧账号”是可能发生的。
使用自定义 Provider：把密钥与 Provider 配置放在正确位置
自定义 Provider 不等于替换 OpenAI 登录。官方配置说明中，Provider 可以使用 OpenAI 认证、读取一个环境变量中的 Provider 专用 Key，或者不需要认证；具体取决于 Provider 的协议与配置。不要把某个第三方服务的 Key 当作 OpenAI API Key 去完成官方登录。
用户级配置通常位于 ~/.codex/config.toml。项目目录中的 .codex/config.toml 适合项目相关的覆盖项，但不能覆盖机器级的 Provider 和认证等字段。团队项目也不应提交包含真实密钥的 auth.json 或环境文件。
需要查字段含义时，以官方config.toml 配置参考为准，而不是复制旧教程里的整段配置。
接入 AI Code With 时的安全顺序
如果你的目标是通过 AI Code With 使用其支持的模型，先在平台创建一个用途明确、可单独撤销的 Key，再按其当前 Codex 文档生成配置。平台的 Endpoint、可用模型与配置片段会调整，因此不要从其他文章复制 Base URL 或 Model ID。
从AI Code With 控制台进入后创建独立 Key，再打开 Codex 终端配置文档，按当前页面的 Provider、Endpoint 与模型示例完成设置。
对应文档：AI Code With Codex（终端）配置。完成配置后，以一次真实请求和平台调用记录共同验证，而不是只看文件是否存在。
按错误文本排查：401、404、429 不该用同一种修法
401 Unauthorized：先核对凭证归属与认证路线
401 表示服务端没有接受当前凭证。依次检查：Key 是否复制完整、是否已撤销或过期、Key 是否属于当前 Provider，以及当前客户端是否仍缓存着另一种登录方式。不要因为看到 401 就把 Base URL 改成任意地址。
404 Not Found：优先核对 Endpoint 与协议
404 更常见于路径不对：把通用 API 地址当成某个客户端专用 Endpoint、遗漏必要路径，或 Provider 与 wire protocol 不匹配。回到当前 Provider 文档逐项核对地址和协议字段；不要只在 URL 末尾反复添加或删除 /v1。
429 Too Many Requests：区分限流、额度与账户限制
429 不证明 Key 无效。保留完整错误文本和时间，确认是瞬时限流、账户额度、套餐限制还是 Provider 网关限制；等待或调整调用频率前，先看服务端返回的具体说明。
完成配置的最小验收
验收只需要四件事：第一，客户端显示的认证路线符合预期；第二，配置中的 Provider、Endpoint 与模型都来自同一份当前文档；第三，发送一个不含敏感数据的小任务后得到正常响应；第四，若使用第三方 Provider，在其后台能看到对应调用记录。任一步失败，都回到该步对应的层排查。
下一步
如果你还没有安装 CLI，先看Codex 安装教程；如果需要了解用户级与项目级配置的边界，继续阅读 config.toml 配置指南。
