本地能跑通但线上报错，说明问题出在环境差异而非代码逻辑本身，常见于配置路径、权限模型、网络出口、沙箱策略不一致；需重点排查path、配置加载路径、沙箱限制、代理设置及外网连通性。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
本地能跑通但线上环境报错，说明问题出在环境差异而非代码逻辑本身，常见于配置路径、权限模型、网络出口、沙箱策略不一致。这类故障最耗时间的不是修复，而是定位哪一层被线上环境悄悄改写了。
确认是否真为“本地正常线上报错”
执行 codex --version && codex config get model_provider → 如果线上连 version 都报 command not found，说明根本没走到配置层，先别查 auth.json，去查 PATH 和安装完整性。
用 codex --debug "hello" 捕获完整日志，重点比对两处：① 日志开头是否显示 loading config from ~/.codex/config.toml（线上可能读的是 /etc/codex/config.toml 或完全没读）；② 是否出现【SandboxErr::Denied】或【LandlockRestrict】字样——这是线上容器/CI 环境特有的拦截标识，本地不会出现。
检查配置文件实际加载路径
方法一：强制指定配置路径验证
codex --config ~/.codex/config.toml --debug "test" → 若成功，说明线上默认路径不对；若仍失败，说明该文件本身有语法错误或权限不足。
方法二：查看 Codex 实际加载行为
codex --debug "noop" 2>&1 | grep -i "loading config" → 输出类似 loading config from /run/user/1001/codex/config.toml，立刻去该路径检查文件是否存在、是否可读、是否为 TOML 格式（不能含中文引号、不能有多余逗号）。
通过本地 Codex 或 OpenClaw OAuth 凭证直接调用 ChatGPT/Codex Responses 的 image_generation 工具来生成或编辑光栅图像，然后保存
【线上环境常把 ~/.codex 映射为只读卷，auth.json 写入失败却静默跳过，导致后续所有请求都因无有效 key 而 401】
逐项验证线上特有约束条件
第一步：确认沙箱模式是否被强制覆盖
codex config get sandbox → 若返回 workspace-read-only 或 restricted，而你需写文件，则必须显式加 --sandbox workspace-write 参数，否则所有 save、persist 类操作直接被内核拦截，不报错只静默失败。
第二步：检查网络出口是否被代理劫持
线上 CI/CD 环境常预设 HTTP_PROXY 环境变量，而 Codex 默认会继承它。执行 echo $HTTP_PROXY → 若非空，且 proxy 地址不可达或未配置白名单，则请求卡在 CONNECT 阶段。临时绕过：HTTP_PROXY= codex "test"。
第三步：验证组织设置加载是否被 DNS 或防火墙截断
线上环境通常禁用外网 DNS 或限制 outbound HTTPS。执行 curl -v https://letaicode.cn/codex/v1/health → 若超时或 Connection refused，说明 base_url 根本无法触达，此时任何模型调用都会 fallback 到“无法加载组织设置”错误。
