OpenAI Codex — App-Server provider (`codex-app-server`) (中文 (繁體))

1. 架構

┌─ OmniRoute 應用程式 ─────────────┐        ┌─ codex-app-server sidecar ─────────┐
│  CodexAppServerExecutor          │  WS    │  codex app-server                   │
│  ws://codex-app-server:1456 ─────┼───────▶│  --listen ws://0.0.0.0:1456         │
│  （+ 能力權杖）                   │  JSON  │  --ws-auth capability-token         │
│                                  │  RPC   │  自行管理 OpenAI OAuth              │
└──────────────────────────────────┘        │  (~/.codex/auth.json，自動重新整理) │
        │ 共用（compose 磁碟區）             └─────────────────────────────────────┘
        ▼
  codex-appserver-token   → WS 能力權杖（兩者皆會掛載）
  codex-appserver-home    → ~/.codex（auth.json 由儀表板寫入，
                             並由 sidecar 的 codex app-server 讀取）

sidecar 僅監聽由能力權杖保護的內部 compose 網路（ws://codex-app-server:1456）。它絕不會 發布至主機或網際網路。
Codex CLI 已內建於 omniroute:base，因此執行 sidecar 時，不需要在主機或使用者的機器上安裝 codex。

2. 啟動

# 使用 codex app-server sidecar profile 啟動整個堆疊：
docker compose --profile base --profile codex-app-server up -d
# （podman：podman compose --profile base --profile codex-app-server up -d）

sidecar 會在首次啟動時建立其 WS 能力權杖（存入共用的 codex-appserver-token 磁碟區），應用程式則透過 OMNIROUTE_CODEX_APPSERVER_WS_TOKEN_FILE 讀取同一個權杖。不需要手動設定權杖。

3. 連線並登入

在儀表板中，新增 OpenAI Codex (App-Server) 連線。不需要 API 金鑰或權杖（這是無需驗證的提供者 — 驗證由 sidecar 負責）。
如果 sidecar 的 Codex CLI 尚未登入，連線健康狀態檢查會回報 「正在執行，但尚未登入」（而不是紅色的驗證錯誤）。使用 透過 ChatGPT 登入：這會在瀏覽器中執行標準的 Codex 裝置 OAuth，然後透過套用驗證資料將 ~/.codex/auth.json 寫入共用磁碟區（同一次登入可同時供 codex 與 codex-app-server 提供者使用）。
登入後，健康狀態檢查會變為綠色（它會同時驗證 /readyz 以及 account/read，也就是服務已啟動且已通過驗證），並開始運作。

儀表板絕不會覆寫狀態正常的現有 ~/.codex/auth.json — 只有在檔案不存在或其權杖已過期時才會寫入（而且一律會先建立備份）。

4. 部署情境

已有完成驗證之 Codex CLI 的操作人員 — 將主機上的 ~/.codex 掛載至 sidecar（codex-appserver-home），並略過登入步驟。
未在本機安裝 codex 的一般使用者 — 不受影響：sidecar 已包含 CLI。使用者只需透過儀表板進行驗證。
裸機 OmniRoute（無 sidecar，使用主機上的 codex） — 將 OMNIROUTE_CODEX_APPSERVER_WS 指向您自己的 codex app-server，並確保主機上的 codex 已登入；若缺少該執行檔，則會顯示「尚未安裝 codex」提示。

5. 住宅網路／UDP 輸出流量（操作人員額外設定，未隨附）

上述通用 sidecar 會透過容器的正常網路傳送輸出流量。若操作人員需要讓 Codex 流量經由住宅網路出口傳送（例如，使用承載 TCP + UDP/QUIC 流量的 TUN tailscale sidecar），可將其作為獨立的 compose 覆寫設定執行；該設定刻意不包含在隨附的 codex-app-server profile 中。請參閱內部操作手冊以瞭解該設定。

OmniRoute 原始碼 (a58000c7685f)