Ubuntu 安装 Codex CLI 及 IDE 插件时报 403 Forbidden 问题
在 Ubuntu 22.04 上部署 OpenAI Codex CLI 时，常见的失败点并不集中在'包本身是否可用'，而是落在更基础的运行时与鉴权链路上：Node.js 版本不满足最低要求、全局安装目录权限不足，以及在 CLI 与 IDE（以 Cursor 为代表）中通过 ChatGPT 账号登录时出现 403 Forbidden 的 token 兑换失败。本文给出一条可复现的排障路径：先修复安装环境，再解释 403 的成因与规避方式，最后通过设备码登录稳定打通 CLI 与 IDE 插件的共享认证状态。
一、推荐安装方式：使用 nvm 安装 Node LTS，再安装 Codex CLI
下面是一套在 Ubuntu 22.04 上较为稳健的安装流程。其核心思路是：用 nvm 管理 Node 版本，使 npm 的全局包目录落在用户目录中，避免权限坑，同时满足 Codex 对 Node 的版本要求。
sudo apt update
sudo apt install -y curl ca-certificates
curl -o- https://raw.githubusercontent.com/nvm-sh/nvm/v0.39.7/install.sh | bash
source ~/.bashrc
nvm install --lts
nvm use --lts
nvm alias default 'lts/*'
node -v
npm -v
确认 node -v 至少为 16+。
接着安装 Codex CLI：
npm i -g @openai/codex@latest
codex --version
which codex
到这里，安装阶段的两类问题（运行时版本与全局权限）应当同时被消除。
二、使用 ChatGPT 账号登录，网页端出现的 'Token exchange failed: 403 Forbidden'报错
安装完成后，很多人会直接在 CLI 或 Cursor 插件中选择'Sign in with ChatGPT'，但可能会在浏览器回跳或 token 兑换阶段遭遇：
Token exchange failed: token endpoint returned status 403 Forbidden
这类 403 的特点是：不是网络超时、也不是本地程序崩溃，而是鉴权服务端拒绝了 token 交换请求。其原因通常集中在以下类别（并非互斥）：
- 账号侧的策略或状态不满足 OAuth 兑换要求（例如登录方式、MFA、工作区策略等）。
- 本地网络环境或代理策略对 OAuth 回调/交换链路造成干扰（尤其是带 HTTPS 中间人、重写、拦截规则的代理）。
- 登录过程依赖本地回调端口，而该回调在某些网络与浏览器的安全策略下不稳定。
对于这类问题，最有效的绕过策略往往不是继续重试同一种'浏览器回跳式登录'，而是切换到设备码登录。
三、使用设备码登录绕过 403
设备码登录的优势在于：CLI 不需要依赖本地回调端口接收浏览器重定向结果，而是将一个短期有效的设备码呈现给用户，在浏览器端完成确认后，CLI 通过轮询或后续请求完成令牌获取。更容易穿透 VPN 常使用的复杂代理。
在实际操作时，建议先清理可能存在的历史认证缓存，再执行设备码登录：
codex logout 2>/dev/null || true
rm -rf ~/.codex
1. 先在 ChatGPT 网站设置中打开'设备码登录'开关
官方说明要求：使用设备码登录前，需要在 ChatGPT 的安全设置（个人账号）或 Workspace 权限（管理员）中启用 device code login。
进入 ChatGPT → 打开 Settings（设置）→ Security（安全）→ 找到与 Codex 相关的选项，启用 Device code login / device code authorization for Codex。
如果使用的是 Team/Business/Edu/Enterprise 的 Workspace，并且在后续网页输入设备码时看到类似：
'Please contact your workspace admin to enable device code authentication'
这通常意味着 Workspace 侧尚未允许 device code，需要管理员在 Workspace 管理/权限页面开启；这是近期不少用户在 Workspace 场景下遇到的典型报错。
2. 终端侧发起设备码登录
在需要登录的机器上执行：
codex login --device-auth
下面是一段可参考的示例输出结构：
Welcome to Codex [v0.xx.x] OpenAI's command-line coding agent
Follow these steps to sign in with ChatGPT using device code authorization:
1. Open this link in your browser and sign in to your account
https://auth.openai.com/codex/device
2. Enter this one-time code (expires in 15 minutes)
AAAA-A1A1A1
Device codes are a common phishing target. Never share this code.
3. 浏览器侧完成授权：打开链接、输入设备码、确认授权
在任意能正常访问网页的浏览器中打开终端提示的链接（常见为下面这个；也以终端实际打印为准）：
https://auth.openai.com/codex/device
网页流程通常是：
- 登录 ChatGPT 对应账号。
- 看到'输入设备码（one-time code）'的输入框。
- 把终端里显示的 code 填进去并提交。
- 页面会要求确认授权，确认后完成绑定。
如果账号属于某个 Workspace，网页可能还会触发 Workspace 权限检查；一旦 Workspace 未开启 device code，就会出现前述'联系管理员启用'的拦截提示。
4. 回到终端：验证登录状态与本地凭据落盘位置
网页授权完成后，终端会结束登录流程并回到提示符。建议立刻用官方提供的状态命令核验：
codex login status
在 CLI 成功登陆后，再次重启 IDE，此时可发现 Codex 插件已经成功登陆。
原理层面，Codex 会把登录态缓存到本地：官方说明缓存位置可能是 ~/.codex/auth.json 或 OS credential store，CLI 与 IDE extension 共享同一份缓存登录态。
