先搞清楚：Windows、WSL、Docker 是三套环境

Codex 在 Windows Terminal 里能用，不代表在 WSL 里也能用；WSL 里能用，也不代表 Docker 容器里能用。它们看起来都在同一台电脑上，实际环境变量、****、证书路径、用户目录和配置文件位置都可能不同。接入 API中转站时，很多问题就出在这些“看不见的边界”上。

灵能API提供统一的中转入口，CC Switch可以帮你在本地管理配置卡，但运行 Codex 的进程到底在哪里，决定了它能读到哪些变量、走哪条网络、使用哪份配置。本文的核心思路是：先确认运行环境，再注入变量，再做短任务验证，最后才进入真实项目。

• Windows 终端、WSL 发行版、Docker 容器、远程服务器都要单独验证。
• 浏览器能打开官网，不代表容器里的命令行能访问同一个入口。
• 跨环境接入时，不要把“配置正确”和“进程读到了配置”混为一谈。

第一步：从灵能API确认统一入口

先通过 https://www.lnsns.com/ 进入灵能API，确认当前账号、API中转站接入说明、*ase **L、可用模型和账户状态。这个步骤要在迁移到 WSL 或 Docker 之前完成，因为后面所有环境都应该使用同一份来源可靠的接入信息。

不要从旧截图、旧笔记或其他成员电脑里复制字段。跨环境排查已经足够复杂，如果入口来源还不统一，后面很容易把问题误判成 WSL 网络、Docker DNS 或服务器防火墙。先把接入字段来源统一，排查才有基准。

• *ase **L 以灵能API当前控制台说明为准。
• API Key 由***创建并安全保存，不写进镜像和仓库。
• 模型 ID 要确认在当前账号中可用，再同步到各环境。

第二步：把字段分成可公开和敏感两类

跨环境配置最容易发生密钥泄露。有人为了让 Docker 容器能读到 Key，直接把真实密钥写进 Dockerfile；有人为了让 WSL 自动生效，把 Key 写进公开脚本；也有人把服务器上的环境变量截图发到群里。这些做法后续都很难收拾。

建议把字段分成两类：*ase **L、模型 ID、配置卡名称属于可写入说明文档的字段；API Key、账号登录信息、服务器 Secret 属于敏感字段，只能通过密码管理器、CI Secret、服务器环境变量或容器运行参数注入。通过 https://www.lnsns.com/ 获取灵能API接入信息后，也要遵守这个分层。

可公开字段：
CODEX_*ASE_**L
CODEX_MODEL
CC Switch 配置卡名称

敏感字段：
CODEX_API_KEY
账号密码
CI Secret
服务器**配置

• Dockerfile 里不要**实 Key。
• 仓库脚本只写变量名和占位符。
• 截图前确认没有露出完整密钥和账号敏感信息。

第三步：先在 CC Switch 建一张环境验证卡

如果你主要在 Windows 本机操作，可以先在 CC Switch 建一张“灵能API-Codex-Env-Check”配置卡。这张卡只用于跨环境验证，不承担日常开发任务。它的作用是作为基准：在 Windows 里跑通，再去 WSL、Docker 和服务器里复现同样的字段。

配置卡备注里写清楚字段来源、模型、验证日期和用途，不要写完整 API Key。后续如果 WSL 或容器里失败，可以回到这张卡确认本机基准是否仍然可用。如果 Windows 基准也失败，就先查灵能API账号状态或本机配置，不要急着怀疑容器网络。

• 环境验证卡只做短任务，不做真实项目写入。
• 配置**过后，再把同样字段同步到其他环境。
• 每次字段变更都要重新跑基准短任务。

**步：Windows 本机先跑基准验证

Windows 本机是最适合做第一轮验证的环境，因为你通常能同时打开浏览器、CC Switch、终端和项目文件。先在空目录里运行 Codex，只让它完成一句短回复。这个阶段不要读取真实项目，也不要让它创建文件。

mkdir codex-env-*aseline
cd codex-env-*aseline
codex "请只回复：Windows 基准验证通过。不要创建、修改或删除文件。"

这一步通过后，记录当前配置卡名称、*ase **L 来源、模型 ID 和验证时间。后面 WSL、Docker、服务器每一轮都使用同样提示词。只有提示词一致，结果才可比较；否则你无法判断失败是环境问题，还是任务内容差异造成的。

• 先空目录，再真实项目。
• 先短任务，再长任务。
• 先建立 Windows 基准，再排查其他环境。

第五步：WSL 里单独注入变量

WSL 不是 Windows 终端的简单复制。你在 Windows 里设置的环境变量，未必会自动进入 WSL；你在 PowerShell 里能访问的**端口，到了 WSL 里也可能需要使用宿主机地址或特殊网络配置。因此 WSL 要单独验证。

建议先在 WSL 里临时导出变量，确认 Codex 能跑通，再决定是否写入 shell 配置文件。不要一开始就把真实 Key 写进公开 dotfiles，也不要把带密钥的配置提交到仓库。

export CODEX_*ASE_**L="https://www.lnsns.com/"
export CODEX_API_KEY="从安全位置复制，不写进仓库"
export CODEX_MODEL="按灵能API控制台可用模型填写"

mkdir -p ~/codex-wsl-check
cd ~/codex-wsl-check
codex "请只回复：WSL 验证通过。不要创建、修改或删除文件。"

• WSL 变量要在 WSL 内部检查，不要只看 Windows。
• **设置要确认 WSL 能访问到宿主机**端口。
• 临时验证通过后，再决定是否写入本机**配置。

第六步：Docker 容器不要把 Key 烧进镜像

Docker 接入时，最重要的原则是：镜像可以共享，密钥不能共享。不要把 CODEX_API_KEY 写进 Dockerfile，也不要把包含真实 Key 的 .env 文件打包进镜像。正确做法是在容器启动时通过环境变量注入，或者由部署平台的 Secret 机制提供。

如果只是本地测试，可以用 --env 参数传入变量；如果是团队环境，建议使用独立的 .env.local 或 Secret 管理，不把真实文件提交到仓库。灵能API的 *ase **L 和模型 ID 可以写入示例，Key 只能运行时注入。

docker run --rm -it \
  -e CODEX_*ASE_**L="https://www.lnsns.com/" \
  -e CODEX_API_KEY="$CODEX_API_KEY" \
  -e CODEX_MODEL="$CODEX_MODEL" \
  your-codex-i**ge:local

• Dockerfile 只描述环境，不保存真实密钥。
• 镜像构建阶段不要需要 API Key，运行阶段再注入。
• 容器日志不要打印完整环境变量。

️ 第七步：远程服务器要区分用户和服务进程

服务器上能否接入，取决于运行 Codex 的具体用户和进程。你用 SSH 登录后设置的变量，只对当前 shell 生效；如果 Codex 被脚本、服务或定时任务调用，它可能读不到这些变量。很多远程环境失败，就是因为人工登录测试通过，服务进程却没有同样配置。

建议服务器接入也按两步走：先用当前 SSH 会话跑空目录短任务，再检查实际服务或脚本使用的环境变量注入方式。不要把灵能API Key 写进全局可读文件，也不要让多个项目共用一份服务器级密钥。

printenv | grep CODEX

mkdir -p ~/codex-server-check
cd ~/codex-server-check
codex "请只回复：服务器验证通过。不要创建、修改或删除文件。"

• SSH 会话通过，不代表定时任务或服务进程通过。
• 不同项目建议使用不同 Key，方便回收和用量归因。
• 服务器文件权限要收紧，避免其他用户读取敏感配置。

第八步：容器网络和**要单独测试

Docker 容器里最常见的问题是网络出口不同。宿主机浏览器能访问灵能API，不代表容器里也能访问；宿主机**端口可用，不代表容器默认能访问 127.0.0.1。容器里的 127.0.0.1 指向容器自己，而不是宿主机。

如果需要**，要根据 Docker Desktop、Linux Docker 或服务器网络情况设置。不要盲目照抄本机**端口。先在容器里检查 DNS、****S 访问和**变量，再运行 Codex 短任务。

env | grep -i proxy

# 根据容器实际情况测试出口，不要打印敏感请求头
curl -I https://www.lnsns.com/

• 容器里的 localhost 不是宿主机 localhost。
• **端口要按当前 Docker 环境确认。
• 网络测试通过后，再运行 Codex。

第九步：按环境记录模型和额度策略

本地、WSL、Docker、服务器对 Codex 的使用频率可能不同。本地多是交互式问答，容器可能是脚本任务，服务器可能是批量分析或自动化检查。不同环境应该有不同额度策略，不能全都默认使用同一张高能力配置。

通过灵能API查看模型和账户状态后，可以为每个环境写清用途：Windows 本机用于日常开发，WSL 用于 Linux 工具链项目，Docker 用于隔离验证，服务器用于自动化任务。用途越清楚，Key 拆分和成本归因越容易。

• 本地环境适合交互式短任务和只读分析。
• 容器环境适合可复现检查，不适合保存长期密钥。
• 服务器环境适合自动化任务，但要限制触发频率。

第十步：建立跨环境验收清单

跨环境接入不要靠感觉验收。建议建立一份清单，每个环境都按同样顺序检查：入口来源、变量存在、**状态、短任务结果、真实项目只读验证、日志是否脱敏。全部通过后，才能把该环境标记为可用。

验收清单：
1. 已从灵能API当前控制台确认 *ase **L 和模型
2. API Key 通过安全方式注入，没有写进仓库或镜像
3. 当前环境能读取 CODEX_*ASE_**L、CODEX_API_KEY、CODEX_MODEL
4. **和网络出口已验证
5. 空目录短任务通过
6. 真实项目只读任务通过
7. 日志和截图没有完整密钥

这份清单的价值，在于让 Windows、WSL、Docker 和服务器都使用同一套验收语言。以后某个环境坏了，你可以直接对照清单定位，而不是重新从头猜。

• 验收结果要写日期和负责人。
• 失败项不要跳过，先修复再进入下一步。
• 每次 Key 轮换或模型切换后，重新跑一遍清单。

第十一步：常见错误的快速定位

跨环境接入失败时，先不要急着重装工具。很多错误都有清晰方向：变量为空，说明注入失败；401，优先查 Key；403，优先查灵能API账号权限、余额和模型授权；404，优先查 *ase **L 和模型 ID；timeout，优先查**、DNS、网络出口和任务长度。

如果 Windows 成功、WSL 失败，重点看 WSL 变量和**；如果 WSL 成功、Docker 失败，重点看容器网络和运行时注入；如果本地成功、服务器失败，重点看服务器用户、服务进程和防火墙策略。按环境差异排查，比盲目换 Key 更快。

Windows 成功，WSL 失败：检查 WSL 内部变量和**
WSL 成功，Docker 失败：检查容器 env、DNS、网络出口
本地成功，服务器失败：检查服务器用户、服务进程、防火墙
短任务成功，长任务失败：检查上下文规模、模型响应、超时设置

• 先比较成功环境和失败环境的差异。
• 每次只改一个变量，保留排查证据。
• 涉及密钥疑似泄露时，直接轮换，不继续试错。

✅ 收尾：跨环境接入的关键是可复现

Codex 接入 API中转站本身并不难，难的是让同一套配置在 Windows、WSL、Docker 和服务器里都能稳定复现。灵能API负责提供统一接入入口，CC Switch负责沉淀本地配置卡，环境变量和验收清单负责把配置带到真正运行 Codex 的进程里。

建议你从一个最小闭环开始：先通过灵能API确认接入字段，在 Windows 本机跑通短任务，再分别进入 WSL、Docker 和服务器验证同一句提示。每个环境都只读、短任务、可记录、可回滚。做到这一步，后续无论是团队协作、自动化脚本还是远程开发，都会稳很多。