OAuth2 授权码模式换 token 报 invalid_grant先别急着改代码。打开 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 创建一把 API Key用 TaoToken 给 Codex 配一条模型通道把 Base URL 填成 https://taotoken.net/api让 Codex 对着 authorization_code 的 D→E 步帮你核对授权码是否过期、redirect_uri 是否与申请时一致。你正在本地调试时浏览器已经带着 code 跳回 redirect_uri后端拿 code 和 redirect_uri 去认证服务器换 token结果返回 {error:invalid_grant}。这类问题不一定是代码写错很多时候是授权码过期、redirect_uri 对不上、code 被重复消费。TaoToken 在这里只负责给 Codex 提供模型通道不参与、也不处理你的 OAuth2 授权码。把通道配好之后Codex 可以帮你生成排查清单、解释报错含义、对照代码找差异但真正发请求、看日志、改配置的动作仍然由你在本地完成。1. invalid_grant 卡在 D→E 步先把授权码模式的换 token 流程对一遍1.1 D 步和 E 步之间认证服务器到底在核对什么授权码模式里用户先被导向认证服务器授权后带着一个 code 跳回客户端的 redirect_uri。真正容易出问题的是后面的 D 步和 E 步D 步由客户端后台拿着 code、redirect_uri、client_id、client_secret 去认证服务器申请 tokenE 步认证服务器核对授权码和重定向 URI确认无误后下发 access token 和 refresh token。invalid_grant 就发生在这一段它表示认证服务器认为这次授权交换不合法直接拒绝。很多人看到“授权码刚拿到”就默认 code 一定有效其实未必。授权码是短期凭证通常几分钟就过期而且很多服务商规定只能使用一次。只要 D 步的请求比 C 步晚了一点或者中间被重试、被日志打印、被另一个线程抢先消费E 步就可能返回 invalid_grant。更隐蔽的是 redirect_uri申请授权码时传了一个值换 token 时传了另一个值哪怕只差末尾斜杠、端口号、大小写认证服务器也可能直接拒绝。这一节要建立的基本判断是invalid_grant 不是“token 不存在”而是“这次 grant 不被接受”。它可能来自 code 本身也可能来自客户端身份、回调地址、PKCE 校验甚至来自认证服务器的时间偏移。把 D→E 步拆开看才能避免在错误的文件里改半天。1.2 invalid_grant 至少对应四类状态实际排障时可以把 invalid_grant 先归到下面几类可能状态典型现象优先检查授权码过期用户跳回后停留很久才换 tokencode 签发时间、服务端过期时间redirect_uri 不一致申请时和换 token 时参数不同两个地方逐字符对比授权码已被使用第一次成功重试或并发时失败是否重复提交、是否消费两次客户端信息不匹配client_id 或 secret 错误环境变量、配置文件、多套凭据PKCE 校验失败使用 code_challenge 时出现code_verifier 是否对应用户会话失效用户退出、撤销授权、改密码后重新走一次授权流程这几种状态在报错层面可能都显示成 invalid_grant但修法完全不同。最忌讳的是看到报错就去改密钥结果真正问题是 redirect_uri 多了一个斜杠。正确的做法是让 Codex 对照 authorization_code 流程先列检查项再逐项排除。2. 把 Codex 的通道改到 TaoToken~/.codex/config.toml 怎么写2.1 准备 Key、Base URL 和模型 ID要让 Codex 帮你查 OAuth2 的 D→E 步得先让它能正常对话。打开 TaoToken 注册账号在控制台创建一把 API Key。本文里 Key 统一写成 YOUR_API_KEY你实际使用时替换成自己创建的那串。创建完之后不要把它提交到 Git也不要贴在公开 issue 里。配置 Codex 时有两个地址要分清官网落地页 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 用来注册、创建 Key、看模型广场和用量填进 Codex 的 Base URL 是 https://taotoken.net/api末尾不要加 /v1。模型 ID 不要凭记忆写打开 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 的模型广场以当时列表里的可用 ID 为准。下面配置里的 YOUR_MODEL_ID 就是占位符你按模型广场替换。2.2 Codex 的 config.toml 与本地环境变量Codex 常用配置文件是 ~/.codex/config.toml。你可以把 provider 指向 TaoToken 的兼容通道格式如下model YOUR_MODEL_ID model_provider taotoken [model_providers.taotoken] name TaoToken base_url https://taotoken.net/api env_key TAOTOKEN_API_KEY然后在终端里设置环境变量把 Key 交给 Codex 读取export TAOTOKEN_API_KEYYOUR_API_KEYWindows PowerShell 可以用$env:TAOTOKEN_API_KEYYOUR_API_KEY如果你用的是系统环境变量设置完要重启终端或 Codex 进程。保存后先让 Codex 回一句简单的话确认通道能通。注意不要把 ANTHROPIC_BASE_URL、ANTHROPIC_AUTH_TOKEN 这一套变量套到 Codex 上Codex 读的是 config.toml 里的 model_provider 和 base_url两者配置文件不同。3. 让 Codex 对照 authorization_code 流程查 invalid_grant3.1 给 Codex 的排查提示词通道通了之后把报错上下文交给 Codex。它可以读代码、解释流程、生成检查命令但不要让它直接连你的认证服务器或生产库。你可以用下面这段提示词我在 OAuth2 授权码模式的 D→E 步换 token 时收到 invalid_grant。 请对照 authorization_code 流程帮我检查下面这些文件或配置 1. 申请授权码时的 redirect_uri 2. 换 token 时的 redirect_uri 3. code 的获取时间、使用次数 4. client_id / client_secret 的读取来源 5. 如果用了 PKCEcode_verifier 与 code_challenge 的对应关系 先不要改代码。请列出我需要在本地执行的 curl 命令和要检查的日志字段。 我执行后会把输出贴回来你再判断是提示问题还是 OAuth2 配置本身的问题。这段提示词的重点是“先列检查项本地执行再贴回”。Codex 不能替你发换 token 请求也不能访问你的认证服务器它能做的是根据你贴回的响应帮你判断下一个变量该查什么。3.2 四个高发点过期、redirect_uri、重复使用、PKCE让 Codex 对照代码时优先看四个地方。第一是过期。授权码从签发到换 token 之间的时间差是多少有些服务商默认 5 分钟或 10 分钟具体以你对接的认证服务器文档为准。如果用户跳回页面后还停在确认页或者前端把 code 存在内存里很久才发到后端code 可能已经失效。第二是 redirect_uri。申请授权码时传的 redirect_uri 和 D 步换 token 时传的必须完全一致。常见差异包括末尾有没有斜杠、http 还是 https、端口号、域名是否带 www、URL 编码方式。把两处值复制出来逐字符对比不要靠眼睛扫。第三是重复使用。很多认证服务器把授权码当一次性凭证第一次换 token 成功后立刻作废。如果前端重试、后端队列重放、日志采样触发二次请求第二次就会收到 invalid_grant。检查代码里有没有重复提交、轮询重试、异常捕获后再次调用。第四是 PKCE。如果授权请求带了 code_challenge换 token 时必须带对应的 code_verifier。code_verifier 是随机字符串code_challenge 是它的转换结果两者不匹配也会 invalid_grant。让 Codex 检查生成、存储、传递这三个环节有没有被截断或重新生成。4. 本地复现换 token 请求把响应贴回对话4.1 curl 复现与最小化变量Codex 给出检查清单后你在本地终端用一个最小 curl 复现 D 步。下面只是模板认证服务器地址、参数名以你对接的服务商为准curl -X POST https://your-auth-server.example.com/oauth/token \ -H Content-Type: application/x-www-form-urlencoded \ -d grant_typeauthorization_code \ -d codeAUTHORIZATION_CODE \ -d redirect_urihttps://your-app.example.com/callback \ -d client_idYOUR_CLIENT_ID \ -d client_secretYOUR_CLIENT_SECRET如果你用了 PKCE再加-d code_verifierYOUR_CODE_VERIFIER这个请求由你在本地执行不要写成让 Codex 直连认证服务器。执行后把完整响应、HTTP 状态码、时间戳贴回给 Codex。为了减少变量先不要带额外 header先不要走前端先不要并发。一次只改一个参数确认哪一个变量会让报错变化。4.2 怎么读认证服务器的错误描述有些认证服务器会返回 error_description 或 error_uri比如提示“authorization code expired”或“redirect_uri mismatch”。如果只有 invalid_grant就看服务端日志记录收到 code 的时间、收到换 token 请求的时间、两个 redirect_uri 的值、client_id 的值、code 是否已被消费。把这些字段贴给 Codex让它对照 authorization_code 流程判断。还有一种情况是提示本身有误导你看到 invalid_grant以为是 code 坏了实际是 client_secret 配错。所以不要把 invalid_grant 直接翻译成“授权码无效”。让 Codex 帮你把可能原因排序再按成本从低到高检查先对比 redirect_uri再检查 code 时间再检查重复消费最后查 client 凭据和 PKCE。5. 跑通之后去控制台对一下这次调用和 Key 状态5.1 用模型对话验证 Codex 通道Codex 能正常回答 OAuth2 排查问题后先去 TaoToken 模型对话 用同一把 Key 发一条测试消息确认模型 ID 和 Base URL 没填错。如果模型对话里正常、Codex 里报错优先检查 config.toml 的字段名、环境变量是否被读取、终端是否重启过。如果两边都不通再回 控制台 API Keys 看 Key 状态和用量记录。5.2 下一步Coding Plan 与控制台排查完 OAuth2 的 D→E 步之后你可能还要继续让 Codex 读项目、写排查脚本、整理日志字段。如果调用量会持续上来可以打开 Coding Plan 看套餐是否够用Claude Code 一侧的环境变量对照可以看 接入文档。最后再提醒一句invalid_grant 的根因通常在你自己的 OAuth2 配置或认证服务器状态里TaoToken 只负责把 Codex 的模型通道接好不碰授权码也不替代你去发换 token 请求。把本地执行结果贴回对话让 Codex 帮你缩小范围比盲目改密钥快得多。