一、问题背景
在 macOS 上使用 Codex CLI 时，不少用户会在执行登录命令后遇到如下错误：
codex login
Token exchange failed: token endpoint returned status 403 Forbidden典型表现为：
- 浏览器能够正常打开
- OpenAI 账号可以成功登录
- 返回终端后却直接失败，无法完成认证
该问题在 GitHub 上已有记录，对应 openai/codex 仓库的 issue #2414，但官方并未给出明确的修复说明。
二、问题现象复盘
常见的完整流程是：
-
执行
codex login -
浏览器被拉起，完成 OpenAI 登录
-
浏览器显示「登录成功」
-
终端报错：
403 Forbidden
Token exchange failed
此时 Codex CLI 无法正常使用。
三、根因分析：为什么会出现 403？
1️⃣ Codex CLI 的登录机制
codex login 默认采用的是 本地 OAuth 回调机制：
- CLI 在本地启动一个回调服务（如
localhost:1455） - 浏览器登录完成后，将授权码回传给本地 CLI
- CLI 再向 OpenAI 服务端请求 token（token exchange）
2️⃣ 403 的真正原因
在 macOS 环境中，这一步 非常容易失败，常见触发条件包括：
| 原因 | 说明 |
|---|---|
| VPN / 公司代理 | OAuth token exchange 请求被拦截 |
| localhost 回调失败 | 浏览器无法正确访问本地端口 |
| 浏览器隐私策略 | Safari / Chrome 隔离本地回调 |
| Codex CLI 本身缺陷 | Issue #2414 已确认 |
⚠️ 重点结论 ：
这不是账号问题，也不是用户操作问题，而是 OAuth 登录链路在 macOS 上不稳定。
四、官方 Issue #2414 的结论
- Issue 已被关闭
- 没有提供官方修复代码或说明
- 社区反馈表明问题在多个 macOS / 网络环境下仍可复现
👉 因此，不要继续强行使用 codex login 默认方式。
五、最稳定的解决方案（强烈推荐）
✅ 方案一：使用 device-auth 登录（推荐）
这是目前 成功率最高、最稳定 的方式。
操作步骤
codex login --device-auth终端会输出类似内容：
Open this URL in your browser:
https://openai.com/device
Enter code: XXXX-XXXX- 打开浏览器访问提示的 URL
- 输入验证码
- 完成登录
- 回到终端，CLI 自动完成认证
为什么这个方案有效？
- ❌ 不使用 localhost 回调
- ❌ 不依赖本地端口
- ❌ 不受 VPN / 代理影响
- ✅ 与 GitHub CLI / Azure CLI 的登录机制一致
这是目前 事实上的官方兜底方案。
✅ 方案二：清理失败状态后重新 device-auth
如果你之前多次失败，建议先清理本地缓存：
rm -rf ~/.codex
codex login --device-auth✅ 方案三：直接使用 API Key（工程场景首选）
如果你是：
- 后端工程
- Agent / 自动化任务
- CI / 服务部署
完全没必要使用 CLI 登录。
export OPENAI_API_KEY=sk-xxxx优势：
- ✔️ 不走 OAuth
- ✔️ 不会 403
- ✔️ 生产环境更稳定
六、推荐的最佳实践（总结版）
👨💻 本地开发（人使用）
codex login --device-auth🤖 工程 / 自动化 / 后端
export OPENAI_API_KEY=xxx❌ 不推荐
codex login七、一句话总结
macOS 上 Codex CLI 的 OAuth 登录存在已知缺陷（Issue #2414），
403 不是你的问题，直接使用--device-auth或 API Key 才是正确解法。