codex 可在每次提交 pull request 后自动执行代码审查。需先授权 codex cloud 服务并配置 github actions 工作流，使用 taotoken api 密钥调用 codex cli 分析 diff，按指定 schema 输出结构化审查结果。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你想让 Codex 在每次提交 Pull Request 后自动跑一遍代码审查，而不是等 reviewer 想起来才手动点开 Terminal 或评论区触发，这样能确保每处变更都经过第一轮 AI 初筛，避免低级漏洞漏到 Code Review 阶段。
确认 GitHub 仓库已授权 Codex Cloud
GitHub 触发式审查依赖 Codex Cloud 服务，必须是付费套餐且完成仓库授权。打开你的 GitHub 仓库 → Settings → Installed GitHub Apps → 找到 Codex → 点击 Configure → 勾选当前仓库 → Save changes。未完成这一步，后续所有 workflow 都不会收到事件推送。
这一步不可跳过，【未授权的仓库即使 workflow 配对了也不会触发 Codex 审查】。
配置 GitHub Actions 自动审查工作流
在仓库根目录创建 .github/workflows/codex-pr-review.yml 文件，内容如下：
name: Codex PR Review
on:
pull_request:
types: [opened, synchronize, reopened]
jobs:
review:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- name: Run Codex Review
env:
OPENAI_API_KEY: ${{ secrets.TAOTOKEN_API_KEY }}
OPENAI_BASE_URL: https://taotoken.net/api
MODEL_ID: gpt-4o
run: |
curl -fsSL https://gitcode.com/GitHub_Trending/codex31/codex/releases/latest/download/codex-x86_64-unknown-linux-musl.tar.gz -o codex.tar.gz
tar -xzf codex.tar.gz
chmod +x codex
./codex exec "分析本次 PR 的 diff，重点检查：1. 空指针或 nil 解引用风险；2. HTTP 错误未处理分支；3. 敏感日志是否含 PII；4. 新增 API 是否有鉴权逻辑" --full-auto --output-schema .github/codex-schema.json
注意：TAOTOKEN_API_KEY 必须提前存入仓库 Secrets，名称严格为 TAOTOKEN_API_KEY，不能写成 OPENAI_API_KEY——Codex CLI 会读取这个环境变量并转发给 TaoToken 网关。
通过本地 Codex 或 OpenClaw OAuth 凭证直接调用 ChatGPT/Codex Responses 的 image_generation 工具来生成或编辑光栅图像，然后保存
定义结构化输出格式（可选但推荐）
在仓库根目录下创建 .github/codex-schema.json，用于约束 Codex 输出为机器可解析的 JSON：
{ "type": "object", "properties": { "review_summary": { "type": "string" }, "issues": { "type": "array", "items": { "type": "object", "properties": { "severity": { "type": "string", "enum": ["low", "medium", "high"] }, "file": { "type": "string" }, "line": { "type": "number" }, "description": { "type": "string" }, "suggestion": { "type": "string" } } } } }, "required": ["review_summary", "issues"] }
有了这个 schema，Codex 就不会自由发挥写散文式评论，而是按字段生成标准结构，方便后续做 severity 聚类或自动打 label。
验证是否生效
第一步：推送一个带明显问题的测试 PR（比如新增一行 log.Println(user.Password)）；
第二步：等待 GitHub Actions 运行完成；
第三步：查看 PR 页面下方的 Comments 区域——如果看到带红色 Blocker 标签的评论，说明 Codex 已成功识别敏感日志并输出结构化建议；
第四步：点击 Actions 标签页，确认 workflow 名为 “Codex PR Review” 且状态为 green。
若 Comments 区域空白，先检查 Actions 日志里是否报 401 Unauthorized（密钥错误）或 404 Not Found（Base URL 多写了 /v1）。
