Codex 配置 OpenAI API Key：CLI、桌面端与 IDE 一次完成并验证

更新于 2026-11-04 · onomeo.cyou

简答：配置 Codex 的 OpenAI API Key，先从 OpenAI Dashboard 获取项目 API Key，再按客户端选择入口：CLI 使用标准输入配合 <code>codex login --with-api-key</code>，桌面端选择 <strong>Sign in another way</strong>，IDE 扩展选择 <strong>Use API Key</strong>。完成后，CLI 运行 <code>codex login status</code> 验证认证方式。API Key 使用按 OpenAI API 标准费率计入 Platform 账户，不等同于 ChatGPT 计划额度；本文按 2026-11-04 可查到的官方文档整理。

定义：Codex 配置 OpenAI API Key，是把 OpenAI Platform 项目的密钥交给 Codex CLI、桌面端或 IDE 扩展，用于本地工作流的按量 API 认证。

先判断客户端：三步速查与适用范围

本文面向已经安装或准备使用 Codex CLI、ChatGPT 桌面端 Codex 功能或 IDE 扩展的开发者。本站是独立的 AI API 接入指南站，不是 Codex 或 OpenAI 官方站点；具体界面会随客户端版本、平台和工作区策略变化。

1. 在 OpenAI Dashboard 获取目标项目的 API Key。
2. 按你正在使用的客户端选择对应登录入口。
3. 完成登录后检查状态；遇到 401 或权限错误，再按本文的顺序核验 Key、项目和账户权限。

官方认证文档目前列出桌面端、Codex CLI 和 IDE 扩展的 API Key 登录方式；Codex Cloud 需要 ChatGPT 登录，API Key 主要用于本地 Codex 工作流。请以Codex 认证文档中当前的功能支持范围为准。

最短主流程：创建项目 Key 到登录验证

1. 登录 OpenAI Dashboard，进入准备使用的项目，获取项目 API Key。个人本地开发可使用用户所属项目的 Key；部署应用、CI 或长期自动化任务应单独考虑服务账号及其密钥生命周期。
2. 把真实 Key 当作密码处理。不要放进前端代码、公开仓库、日志、截图、工单或聊天记录。本文出现的 sk-your-key 只是占位符，不能直接使用。
3. 按客户端登录：CLI 使用标准输入传递 Key，桌面端使用 Sign in another way，IDE 扩展使用 Use API Key。
4. CLI 登录后运行 codex login status。如果要清除 Codex 保存的登录凭据，运行 codex logout；若当前进程使用工作负载身份，则认证由环境控制，CLI 可能拒绝这些登录管理命令。

OpenAI 的 API 密钥文档区分了个人开发用的项目 Key、服务账号和管理员 Key。个人 Key 只适合对应开发者的开发工作，不应作为团队共享凭据或生产应用的永久身份。详见API keys and service accounts。

Codex CLI：macOS、Linux 与 Windows PowerShell

macOS 或 Linux

官方认证页给出的核心方式是通过标准输入把环境变量传给登录命令：

export OPENAI_API_KEY="sk-your-key"

printenv OPENAI_API_KEY | codex login --with-api-key

完成后执行：

codex login status

Windows PowerShell

PowerShell 当前会话可使用对应的环境变量语法：

$env:OPENAI_API_KEY = "sk-your-key"

$env:OPENAI_API_KEY | codex login --with-api-key

如果本机客户端或 PowerShell 对管道输入的表现不同，可直接运行 codex login --with-api-key，按提示交互式输入 Key。本文未对每个操作系统、Shell 和 Codex 版本实测，因此遇到命令行为差异时，应优先以当前认证文档和本机命令帮助为准。

关于环境变量安全

上面的 export 或 $env: 示例只适合临时会话，且必须使用占位符替换真实值。不要把含真实 Key 的命令保存进脚本、Shell 历史、CI 日志或终端录屏。自动化场景应使用受控的密钥注入方式；OpenAI 文档建议将秘密密钥放在服务器端的密钥管理方案中，避免进入浏览器代码、源代码、日志和面向用户的响应。

桌面端与 IDE 扩展：按界面选择 API Key 登录

桌面端

1. 打开桌面端，进入未登录界面。
2. 选择 Sign in another way。
3. 输入 OpenAI API Key，选择 Continue。
4. 登录后打开个人资料菜单，核对当前 API Key 或账号状态。
5. 需要清除当前保存凭据时，选择 Log out。

IDE 扩展

1. 在已安装 Codex 扩展的 IDE 中打开登录界面。
2. 选择 Use API Key。
3. 输入项目 API Key，选择 OK。
4. 如果没有看到 API Key 入口，先核对扩展版本、当前是否已经登录以及组织是否要求使用 ChatGPT 登录。

以上入口来自当前 Codex 认证页面。官方同时说明，桌面端、CLI 和 IDE 扩展支持 ChatGPT 登录与 API Key 登录，但部分依赖 ChatGPT 工作区或云服务的功能可能受限或不可用；因此不要把 API Key 当作所有 Codex 功能的通用替代凭据。

ChatGPT 登录与 API Key 登录怎么选

如果目标是本地 CLI、桌面端或 IDE 工作，API Key 可以作为按量 API 认证方式；如果需要 ChatGPT 计划权益、工作区控制或 Codex Cloud，应选择 ChatGPT 登录。官方说明 API Key 使用按标准 API 费率计费，具体价格仍应查看API pricing页面，而不是根据 ChatGPT 订阅价格推算。

认证缓存与凭据清理：不要手动猜配置字段

当前认证文档说明，桌面端、Codex CLI 和 IDE 扩展的登录信息会被缓存并复用，CLI 与扩展共享同一份缓存登录信息；从其中一端退出后，下一次启动 CLI 或扩展可能需要重新登录。缓存位置可能是 ~/.codex/auth.json，也可能是操作系统凭据存储，取决于配置和平台。

• codex login status：查看当前认证方式。
• codex logout：清除已保存的凭据；不适用于由进程环境控制的工作负载身份。
• ~/.codex/auth.json：如果使用文件存储，应按密码处理，不要提交到 Git、粘贴到工单或发送到聊天中。
• cli_auth_credentials_store：官方配置项可控制使用文件、系统密钥环、自动选择或仅进程内存储；组织管理员也可能强制相关配置。

如果 CLI 和扩展出现登录方式冲突，先分别退出并重新登录，再检查同一用户目录下的缓存和当前环境变量。不要直接编辑 auth.json，除非你已阅读对应版本的配置文档并明确知道该文件的格式。

401、Key 未生效与权限不足：按这个顺序排查

1. 确认认证方式：CLI 先运行 codex login status；桌面端或 IDE 扩展打开个人资料菜单，确认当前是 API Key 登录，而不是仍在使用旧的 ChatGPT 会话。
2. 确认 Key 来源：核对它是否来自目标 OpenAI 项目，是否被撤销、截断，是否包含复制时产生的空格或换行。不要把完整 Key 贴到错误报告中。
3. 确认变量与命令在同一会话：临时环境变量只对当前终端会话有效；新开终端、不同用户或 IDE 独立进程可能读不到它。
4. 清理旧凭据：对已保存认证执行 codex logout，重新使用 API Key 登录。如果使用了系统密钥环或共享缓存，分别重启相关客户端再检查。
5. 确认项目和身份权限：API Key 的作用范围受 Key 本身、所属用户或服务账号、项目以及组织权限共同约束。Key 的权限范围可以收窄，但不会赋予其所有者原本没有的权限，详见权限与密钥文档。
6. 检查账户前置条件：如果登录状态已经识别 API Key，但任务仍返回 401、403 或模型不可用，应在控制台核对项目是否具备对应 API 使用权限、计费或额度状态、模型访问范围以及组织策略。这些条件可能因账户和工作区不同而不同，无法仅凭一条错误信息确认，需以控制台和项目管理员信息为准。
7. 区分 Codex 登录错误与 API 业务错误：如果登录命令本身失败，先查认证入口、缓存和网络；如果登录成功但具体任务失败，再查项目、模型、额度、权限和请求内容，不要只重复更换 Key。

安全边界与发布前自查

• 个人开发：使用自己的项目 API Key，不与他人共用长期凭据。
• 自动化或 CI：为工作负载使用独立身份和密钥，避免把个人 Key 作为生产应用的永久身份。
• 发现泄露：先在控制台撤销或轮换旧 Key，再更新本地、CI 或部署环境；只删除代码中的字符串并不能撤销已经泄露的凭据。
• 凭据缓存：将 auth.json 和系统密钥环视为敏感信息，不上传、不截图、不粘贴到工单。
• 组织环境：不要通过更换 Key 绕过管理员设置、工作区权限或企业认证要求。

完成配置前逐项检查：

1. 使用的是目标项目 API Key，而不是 ChatGPT 密码或其他服务令牌。
2. 使用了与客户端匹配的登录入口。
3. CLI 已通过 codex login status 确认认证方式。
4. 已明确 API Key 计费进入 Platform 账户，不等于 ChatGPT 订阅额度。
5. 真实 Key 没有出现在代码、日志、截图、公开仓库或文章示例中。
6. 出现权限或模型错误时，已同时核对项目、账户、计费、模型访问和组织策略。

如果你需要在 Codex 之外统一接入 OpenAI 兼容接口，可在确认自身项目需求后，查看犀速-AI的当前接入说明；具体能力、模型与计费以其官网页面为准。

常见问题

Codex 配置 OpenAI API Key 后会消耗 ChatGPT 订阅额度吗？

不会按 ChatGPT 计划额度计算。当前 Codex 认证文档说明，API Key 登录使用 OpenAI API 标准费率，并计入 OpenAI Platform 账户；具体模型价格和账户规则应查看API pricing页面。

Codex CLI 配置 API Key 的命令是什么？

官方示例是 <code>printenv OPENAI_API_KEY | codex login --with-api-key</code>。登录后运行 <code>codex login status</code> 查看当前认证方式。Windows PowerShell 可使用 <code>$env:OPENAI_API_KEY</code> 设置当前会话变量；如果管道行为异常，可运行 <code>codex login --with-api-key</code> 按提示交互式输入。

Codex 桌面端在哪里输入 OpenAI API Key？

在未登录界面选择 <strong>Sign in another way</strong>，输入 API Key 后选择 <strong>Continue</strong>。这是当前认证文档列出的桌面端入口；如果界面不同，应先核对客户端版本和工作区策略。

Codex IDE 扩展支持 API Key 吗？

当前认证文档列出的路径是：在未登录界面选择 <strong>Use API Key</strong>，输入 Key 后选择 <strong>OK</strong>。如果没有这个选项，检查扩展版本、当前登录状态以及组织是否强制使用 ChatGPT 登录。

为什么已经设置 OPENAI_API_KEY，Codex 仍提示未登录？

先确认环境变量和登录命令在同一个终端会话执行，再运行 <code>codex login status</code>。如果仍有旧凭据，运行 <code>codex logout</code> 后重新登录；若使用系统密钥环、共享缓存或组织强制认证，需分别检查对应设置。

Codex 返回 401 或模型无权限时，换一个 API Key 就能解决吗？

不一定。先核对 Key 是否撤销、是否属于目标项目，再检查用户或服务账号权限、项目 API 使用条件、计费或额度状态、模型访问范围和组织策略。API Key 不会赋予所有者原本没有的权限，无法仅凭 401 判断具体原因。

Codex 的 API Key 会保存在哪里？

当前认证文档说明，凭据可能保存在 <code>~/.codex/auth.json</code> 或操作系统凭据存储中，具体取决于配置和平台。使用文件存储时，应把 <code>auth.json</code> 当作密码处理，不要提交到 Git、粘贴到工单或发送到聊天中。

相关阅读

• 继续了解 OpenAI 兼容接口的 Key、Base URL 与模型名配置
• 遇到 401 invalid api key 时按凭据、请求头和端点排查
• 查看 API Key 安全保存、轮换与撤销清单
• 还要在 Cursor 中配置兼容接口，可参考这篇步骤

参考资料

1. Authentication | Codex / ChatGPT Learn
2. API keys and service accounts | OpenAI API
3. Using Codex with your ChatGPT plan | OpenAI Help Center