OAuth2 授权码模式换 token 报 invalid_grant，先别急着改代码。打开 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 创建一把 API Key，用 TaoToken 给 Codex 配一条模型通道，把 Base URL 填成 https://taotoken.net/api，让 Codex 对着 authorization_code 的 D→E 步帮你核对授权码是否过期、redirect_uri 是否与申请时一致。你正在本地调试时，浏览器已经带着 code 跳回 redirect_uri，后端拿 code 和 redirect_uri 去认证服务器换 token，结果返回 {"error":"invalid_grant"}。这类问题不一定是代码写错，很多时候是授权码过期、redirect_uri 对不上、code 被重复消费。TaoToken 在这里只负责给 Codex 提供模型通道，不参与、也不处理你的 OAuth2 授权码。把通道配好之后，Codex 可以帮你生成排查清单、解释报错含义、对照代码找差异，但真正发请求、看日志、改配置的动作，仍然由你在本地完成。
1. invalid_grant 卡在 D→E 步：先把授权码模式的换 token 流程对一遍
1.1 D 步和 E 步之间，认证服务器到底在核对什么
授权码模式里，用户先被导向认证服务器，授权后带着一个 code 跳回客户端的 redirect_uri。真正容易出问题的，是后面的 D 步和 E 步：D 步由客户端后台拿着 code、redirect_uri、client_id、client_secret 去认证服务器申请 token；E 步认证服务器核对授权码和重定向 URI，确认无误后下发 access token 和 refresh token。invalid_grant 就发生在这一段，它表示认证服务器认为这次授权交换不合法，直接拒绝。
很多人看到“授权码刚拿到”就默认 code 一定有效，其实未必。授权码是短期凭证，通常几分钟就过期，而且很多服务商规定只能使用一次。只要 D 步的请求比 C 步晚了一点，或者中间被重试、被日志打印、被另一个线程抢先消费，E 步就可能返回 invalid_grant。更隐蔽的是 redirect_uri：申请授权码时传了一个值，换 token 时传了另一个值，哪怕只差末尾斜杠、端口号、大小写，认证服务器也可能直接拒绝。
这一节要建立的基本判断是：invalid_grant 不是“token 不存在”，而是“这次 grant 不被接受”。它可能来自 code 本身，也可能来自客户端身份、回调地址、PKCE 校验，甚至来自认证服务器的时间偏移。把 D→E 步拆开看，才能避免在错误的文件里改半天。
1.2 invalid_grant 至少对应四类状态
实际排障时，可以把 invalid_grant 先归到下面几类：
| 可能状态 | 典型现象 | 优先检查 |
|---|---|---|
| 授权码过期 | 用户跳回后停留很久才换 token | code 签发时间、服务端过期时间 |
| redirect_uri 不一致 | 申请时和换 token 时参数不同 | 两个地方逐字符对比 |
| 授权码已被使用 | 第一次成功，重试或并发时失败 | 是否重复提交、是否消费两次 |
| 客户端信息不匹配 | client_id 或 secret 错误 | 环境变量、配置文件、多套凭据 |
| PKCE 校验失败 | 使用 code_challenge 时出现 | code_verifier 是否对应 |
| 用户会话失效 | 用户退出、撤销授权、改密码后 | 重新走一次授权流程 |
这几种状态在报错层面可能都显示成 invalid_grant，但修法完全不同。最忌讳的是看到报错就去改密钥，结果真正问题是 redirect_uri 多了一个斜杠。正确的做法是让 Codex 对照 authorization_code 流程，先列检查项，再逐项排除。
2. 把 Codex 的通道改到 TaoToken：~/.codex/config.toml 怎么写
2.1 准备 Key、Base URL 和模型 ID
要让 Codex 帮你查 OAuth2 的 D→E 步，得先让它能正常对话。打开 TaoToken 注册账号，在控制台创建一把 API Key。本文里 Key 统一写成 YOUR_API_KEY，你实际使用时替换成自己创建的那串。创建完之后不要把它提交到 Git，也不要贴在公开 issue 里。
配置 Codex 时有两个地址要分清：官网落地页 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 用来注册、创建 Key、看模型广场和用量；填进 Codex 的 Base URL 是 https://taotoken.net/api，末尾不要加 /v1。模型 ID 不要凭记忆写，打开 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 的模型广场，以当时列表里的可用 ID 为准。下面配置里的 YOUR_MODEL_ID 就是占位符，你按模型广场替换。
2.2 Codex 的 config.toml 与本地环境变量
Codex 常用配置文件是 ~/.codex/config.toml。你可以把 provider 指向 TaoToken 的兼容通道，格式如下：
model = "YOUR_MODEL_ID" model_provider = "taotoken" [model_providers.taotoken] name = "TaoToken" base_url = "https://taotoken.net/api" env_key = "TAOTOKEN_API_KEY"然后在终端里设置环境变量，把 Key 交给 Codex 读取：
export TAOTOKEN_API_KEY=YOUR_API_KEYWindows PowerShell 可以用：
$env:TAOTOKEN_API_KEY="YOUR_API_KEY"如果你用的是系统环境变量，设置完要重启终端或 Codex 进程。保存后先让 Codex 回一句简单的话，确认通道能通。注意不要把 ANTHROPIC_BASE_URL、ANTHROPIC_AUTH_TOKEN 这一套变量套到 Codex 上，Codex 读的是 config.toml 里的 model_provider 和 base_url，两者配置文件不同。
3. 让 Codex 对照 authorization_code 流程查 invalid_grant
3.1 给 Codex 的排查提示词
通道通了之后，把报错上下文交给 Codex。它可以读代码、解释流程、生成检查命令，但不要让它直接连你的认证服务器或生产库。你可以用下面这段提示词：
我在 OAuth2 授权码模式的 D→E 步换 token 时收到 invalid_grant。 请对照 authorization_code 流程，帮我检查下面这些文件或配置： 1. 申请授权码时的 redirect_uri 2. 换 token 时的 redirect_uri 3. code 的获取时间、使用次数 4. client_id / client_secret 的读取来源 5. 如果用了 PKCE，code_verifier 与 code_challenge 的对应关系 先不要改代码。请列出我需要在本地执行的 curl 命令和要检查的日志字段。 我执行后会把输出贴回来，你再判断是提示问题还是 OAuth2 配置本身的问题。这段提示词的重点是“先列检查项，本地执行，再贴回”。Codex 不能替你发换 token 请求，也不能访问你的认证服务器；它能做的是根据你贴回的响应，帮你判断下一个变量该查什么。
3.2 四个高发点：过期、redirect_uri、重复使用、PKCE
让 Codex 对照代码时，优先看四个地方。
第一是过期。授权码从签发到换 token 之间的时间差是多少？有些服务商默认 5 分钟或 10 分钟，具体以你对接的认证服务器文档为准。如果用户跳回页面后还停在确认页，或者前端把 code 存在内存里很久才发到后端，code 可能已经失效。
第二是 redirect_uri。申请授权码时传的 redirect_uri 和 D 步换 token 时传的必须完全一致。常见差异包括：末尾有没有斜杠、http 还是 https、端口号、域名是否带 www、URL 编码方式。把两处值复制出来逐字符对比，不要靠眼睛扫。
第三是重复使用。很多认证服务器把授权码当一次性凭证，第一次换 token 成功后立刻作废。如果前端重试、后端队列重放、日志采样触发二次请求，第二次就会收到 invalid_grant。检查代码里有没有重复提交、轮询重试、异常捕获后再次调用。
第四是 PKCE。如果授权请求带了 code_challenge，换 token 时必须带对应的 code_verifier。code_verifier 是随机字符串，code_challenge 是它的转换结果，两者不匹配也会 invalid_grant。让 Codex 检查生成、存储、传递这三个环节有没有被截断或重新生成。
4. 本地复现换 token 请求，把响应贴回对话
4.1 curl 复现与最小化变量
Codex 给出检查清单后，你在本地终端用一个最小 curl 复现 D 步。下面只是模板，认证服务器地址、参数名以你对接的服务商为准：
curl -X POST https://your-auth-server.example.com/oauth/token \ -H "Content-Type: application/x-www-form-urlencoded" \ -d "grant_type=authorization_code" \ -d "code=AUTHORIZATION_CODE" \ -d "redirect_uri=https://your-app.example.com/callback" \ -d "client_id=YOUR_CLIENT_ID" \ -d "client_secret=YOUR_CLIENT_SECRET"如果你用了 PKCE，再加：
-d "code_verifier=YOUR_CODE_VERIFIER"这个请求由你在本地执行，不要写成让 Codex 直连认证服务器。执行后把完整响应、HTTP 状态码、时间戳贴回给 Codex。为了减少变量，先不要带额外 header，先不要走前端，先不要并发。一次只改一个参数，确认哪一个变量会让报错变化。
4.2 怎么读认证服务器的错误描述
有些认证服务器会返回 error_description 或 error_uri，比如提示“authorization code expired”或“redirect_uri mismatch”。如果只有 invalid_grant，就看服务端日志：记录收到 code 的时间、收到换 token 请求的时间、两个 redirect_uri 的值、client_id 的值、code 是否已被消费。把这些字段贴给 Codex，让它对照 authorization_code 流程判断。
还有一种情况是提示本身有误导：你看到 invalid_grant，以为是 code 坏了，实际是 client_secret 配错。所以不要把 invalid_grant 直接翻译成“授权码无效”。让 Codex 帮你把可能原因排序，再按成本从低到高检查：先对比 redirect_uri，再检查 code 时间，再检查重复消费，最后查 client 凭据和 PKCE。
5. 跑通之后去控制台对一下这次调用和 Key 状态
5.1 用模型对话验证 Codex 通道
Codex 能正常回答 OAuth2 排查问题后，先去 TaoToken 模型对话 用同一把 Key 发一条测试消息，确认模型 ID 和 Base URL 没填错。如果模型对话里正常、Codex 里报错，优先检查 config.toml 的字段名、环境变量是否被读取、终端是否重启过。如果两边都不通，再回 控制台 API Keys 看 Key 状态和用量记录。
5.2 下一步：Coding Plan 与控制台
排查完 OAuth2 的 D→E 步之后，你可能还要继续让 Codex 读项目、写排查脚本、整理日志字段。如果调用量会持续上来，可以打开 Coding Plan 看套餐是否够用；Claude Code 一侧的环境变量对照可以看 接入文档。最后再提醒一句：invalid_grant 的根因通常在你自己的 OAuth2 配置或认证服务器状态里，TaoToken 只负责把 Codex 的模型通道接好，不碰授权码，也不替代你去发换 token 请求。把本地执行结果贴回对话，让 Codex 帮你缩小范围，比盲目改密钥快得多。
