codex登录超时主因是1455端口被系统排除（1359–1458区间），触发os error 10013导致本地回调服务无法绑定；需管理员执行netsh检查排除端口，确认后运行net stop winnat && net start winnat释放端口。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
当Codex在终端中执行命令后反复提示连接超时，且已排除网络和API配置问题，下一步必须确认终端是否具备运行Codex所需的最小权限边界——不是系统管理员权限，而是对当前项目目录、配置文件、本地回调端口的读写与监听能力。
检查终端是否被系统策略拦截
管理员身份打开 PowerShell，执行：
netsh interface ipv4 show excludedportrange protocol=tcp
重点核对输出中是否存在 【1359–1458】 这一端口段。Codex 登录时默认绑定 1455 端口启动本地回调服务，若该端口落在系统强制排除范围内，就会触发 os error 10013，导致浏览器授权完成后无法回传 code，直接判定超时退出。
若确认 1455 被排除，立即执行：
net stop winnat → net start winnat
重启 WinNAT 服务后，系统会动态重排排除端口列表，1455 大概率被释放。这一步无需重启电脑，执行完即可重试 codex login。
验证终端对 .codex 配置目录的实际控制权
方法一：检查配置文件路径是否可写
在终端中执行：
ls -la ~/.codex/（macOS/Linux）或 dir %USERPROFILE%\.codex（Windows）
观察返回结果中 config.toml 和 auth.json 的权限标识。若显示只读（如 macOS 中权限为 -r--r--r--）、或 Windows 下提示“拒绝访问”，说明终端当前用户无写入权。
方法二：尝试创建测试文件
cd ~/.codex && touch test_perm.tmp
如果报错 Permission denied，证明终端未获得该目录写权限。此时不要强行 chmod 777 或右键“以管理员运行”——这会破坏 Codex 沙箱机制。正确做法是：右键点击终端快捷方式 → 属性 → 兼容性 → 取消勾选“以管理员身份运行”，然后在资源管理器中右键 .codex 文件夹 → 属性 → 安全 → 编辑 → 为当前用户添加“修改”权限。
通过本地 Codex 或 OpenClaw OAuth 凭证直接调用 ChatGPT/Codex Responses 的 image_generation 工具来生成或编辑光栅图像，然后保存
确认终端环境是否加载了必要变量
第一步：检查 CODEX_API_KEY 是否生效
echo $CODEX_API_KEY（macOS/Linux）或 echo %CODEX_API_KEY%（Windows）
若输出为空，说明环境变量未注入终端会话。不要手动在当前窗口 set，而应写入 shell 配置文件（如 ~/.zshrc 或 %USERPROFILE%\Documents\PowerShell\Microsoft.PowerShell_profile.ps1），再执行 source ~/.zshrc 或 . $PROFILE 重新加载。
第二步：验证终端能否调用底层依赖
node -v → npm -v → codex --version
三者必须全部稳定输出版本号。若 codex --version 报 command not found，说明 PATH 未包含 Codex 安装路径；若仅在 VSCode 终端能运行，在系统 CMD 却失败，说明不同终端加载了不同环境变量，需统一配置入口点。
判断沙箱模式是否主动限制了终端行为
第一步：查看当前沙盒策略
codex config get sandbox.mode
第二步：比对实际策略与操作需求
若返回 read-only，但你要执行 codex fix 或 codex run ——这些命令必须写入文件，此时超时可能是权限卡在审批环节，而非网络问题。
第三步：临时切换为 workspace-write 模式
codex config set sandbox.mode=workspace-write
【注意：此操作仅用于排查，切勿长期开启】 workspace-write 允许 Codex 修改当前项目目录内所有文件，但不会自动开放网络或跨目录访问。若切换后超时消失，说明原 read-only 模式下某次工具调用（如生成临时 patch 文件）被静默拦截，触发会话中断。
