1. Open WebUI 多模型入口：从 BAN 报告到网关层治理
在 Open WebUI 里配置多个 OpenAI 兼容连接时，平台工程团队常把 TaoToken（https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_content=openwebui_intro）放在网关层，Open WebUI 只保留一个上游入口，Base URL 填 https://taotoken.net/api。这样做的直接原因不是“多接几个模型更热闹”，而是现场故障往往来自连接分散：模型列表重复、WebSocket 401、容器重启后 Key 丢失、不同工作区拿到不同供应商 Key、流式输出被反代缓冲截断。Basel Action Network 近期关于 AI 数据中心电子垃圾被低估的报告，也从一个侧面提醒平台侧：算力入口需要可观测、可回收、可治理。本文不展开报告数据，而把落点放在 Open WebUI 多模型入口的接入、反代、Key 注入与排障上。
如果你正在维护 Open WebUI，比较稳妥的路径是：先在 TaoToken 官网拿 Key，再把 Open WebUI 的 OpenAI 兼容连接指向https://taotoken.net/api，然后在网关层做 TLS、SSO、限流、审计和密钥注入。Open WebUI 负责会话、知识库、工作区与前端交互；TaoToken 负责模型统一入口、Key 管理、模型路由与调用边界。这样 Claude Code、Codex、CC Switch、Open WebUI 可以共享同一套上游网关，但各自保留正确的配置格式，不会出现把ANTHROPIC_*变量硬塞进 Codex 这类低级错误。
从平台工程视角看，Open WebUI 不是单纯聊天页面，它更像一个多模型工作台。用户会在同一个界面里切换对话模型、代码模型、嵌入模型和视觉模型。如果没有网关层收敛，后面会出现三类问题：第一，模型 ID 命名不统一，前端显示一堆同名模型；第二，Key 分散在浏览器、容器、个人配置和 CI 里，轮换困难；第三，审计日志拿不到统一 request id，成本摊分只能靠猜。TaoToken 放在网关层的价值，就是把这些差异挡在 Open WebUI 之外，让前端只认一个 Base URL 和一组受控模型。
2. 把 TaoToken 接进 Open WebUI：环境变量与连接页的最小配置
Open WebUI 支持 OpenAI 兼容接口。对平台工程来说，最稳的接法是服务端环境变量注入，而不是让每个用户在浏览器里填 Key。先去 TaoToken 官网（https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_content=openwebui_config）创建 API Key，拿到YOUR_API_KEY后，按下面方式部署。
2.1 Docker Compose 环境变量示例
services: open-webui: image: ghcr.io/open-webui/open-webui:main container_name: open-webui ports: - "3000:8080" environment: - ENABLE_OPENAI_API=true - OPENAI_API_BASE_URL=https://taotoken.net/api - OPENAI_API_KEY=YOUR_API_KEY - ENABLE_OLLAMA_API=false - WEBUI_SECRET_KEY=replace_with_random_secret volumes: - open-webui-data:/app/backend/data restart: unless-stopped volumes: open-webui-data:这里有两个关键点。第一，OPENAI_API_BASE_URL指向https://taotoken.net/api，不要带 UTM，UTM 只用于官网入口和 CTA 链接。第二，OPENAI_API_KEY先用YOUR_API_KEY占位，生产环境应通过 Secret 注入，不要写进镜像或 Git。Open WebUI 的容器如果重启后模型列表消失，通常不是模型侧问题，而是容器没有持久化数据卷，或者环境变量没有正确传入。
2.2 在 Open WebUI 管理面板添加连接
如果不用环境变量，也可以走管理面板：
- 使用管理员账号进入 Open WebUI。
- 打开“设置” -> “连接” -> “OpenAI API”。
- URL 填
https://taotoken.net/api。 - Key 填
YOUR_API_KEY。 - 保存后刷新模型列表，按需要启用模型。
有些 Open WebUI 版本会在 URL 后自动拼接/v1，有些版本要求你显式填写兼容路径。遇到模型列表为空时，不要先怀疑 Key 无效，先检查网关地址是否被重复拼接。例如https://taotoken.net/api/v1再拼一次/v1就会变成错误路径。平台工程的惯例是：先在 TaoToken 的模型对话页确认模型可用，再回到 Open WebUI 只改 Base URL 和 Key，变量越少越容易排障。
2.3 模型白名单与工作区隔离
Open WebUI 的多模型入口很容易变成“全都显示”。对内部平台来说，建议按工作区分模型白名单：
- 普通问答工作区：只开放通用对话模型。
- 研发工作区：开放代码模型和长上下文模型。
- 知识库工作区：只开放嵌入模型与摘要模型。
- 访客工作区：只开放低成本模型，并设置速率限制。
TaoToken 侧可以通过不同 API Key 或不同模型访问策略来做隔离。Open WebUI 侧只保留一个 OpenAI 兼容连接，避免每个供应商一个连接导致模型重名。模型 ID 最好由网关层统一别名，例如chat-default、code-default、embed-default，前端不需要知道后端具体供应商。
3. 网关层反代：Nginx/Caddy 入口与 WebSocket/流式输出配置
Open WebUI 本身可以直接暴露 3000 端口，但平台工程通常不会这么做。更常见的做法是：Open WebUI 只在内网监听，由 Nginx 或 Caddy 做 HTTPS 入口、SSO、访问控制和 WebSocket 转发。下面是 Nginx 反代示例。
3.1 Nginx 反代 Open WebUI
map $http_upgrade $connection_upgrade { default upgrade; '' close; } server { listen 443 ssl http2; server_name openwebui.example.com; ssl_certificate /etc/nginx/certs/fullchain.pem; ssl_certificate_key /etc/nginx/certs/privkey.pem; location / { proxy_pass http://open-webui:8080; proxy_http_version 1.1; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection $connection_upgrade; proxy_buffering off; proxy_read_timeout 3600s; proxy_send_timeout 3600s; } }这里的proxy_buffering off对流式输出很重要。如果开启缓冲，前端可能会看到模型回复“分段卡住”，或者最后一个 token 迟迟不出现。Upgrade和Connection头用于 WebSocket，如果缺失，Open WebUI 的实时状态、协作或通知类功能可能报 401 或 502。
3.2 Caddy 反代示例
openwebui.example.com { reverse_proxy open-webui:8080 { header_up Host {host} header_up X-Real-IP {remote_host} transport http { read_timeout 1h write_timeout 1h } } }Caddy 的优势是自动 HTTPS 和较短配置。生产环境建议再加：
- 基础认证或接入企业 SSO。
- 按 IP 或用户限流。
- 请求体大小限制，避免知识库上传打满内存。
- 访问日志脱敏，禁止记录
Authorization完整值。 - 对
/api/、/ws/单独设置超时。
注意，网关反代的是 Open WebUI 入口，不是让浏览器直连模型供应商。Open WebUI 服务端拿到OPENAI_API_BASE_URL=https://taotoken.net/api后，由服务端向 TaoToken 发起上游请求。这样 Key 不落浏览器，平台侧也可以在服务端统一轮换。
4. Key 注入与密钥治理：Docker Secret、K8s Secret、环境分级
Key 注入是平台工程和普通聊天部署的分水岭。直接把YOUR_API_KEY写进docker-compose.yml可以快速验证，但不适合长期运行。推荐按环境拆分 Key：开发、测试、生产各用一组，Open WebUI、Claude Code、Codex、CC Switch 也尽量分开。这样某个客户端的 Key 泄露或误删，不会影响整个平台。
4.1 Docker Secret 方式
printf "YOUR_API_KEY" | docker secret create taotoken_openwebui_key -然后在 Compose 或 Swarm 中引用 Secret。如果 Open WebUI 当前版本支持*_FILE形式的环境变量，可以把文件路径传给容器；如果不支持，就在启动脚本中读取 Secret 文件并导出为环境变量，再启动 Open WebUI。核心原则是：Key 不进入镜像层，不进入 Git 历史，不进入前端构建产物。
4.2 Kubernetes Secret 方式
apiVersion: v1 kind: Secret metadata: name: taotoken-openwebui type: Opaque stringData: OPENAI_API_KEY: YOUR_API_KEY --- apiVersion: apps/v1 kind: Deployment metadata: name: open-webui spec: replicas: 1 selector: matchLabels: app: open-webui template: metadata: labels: app: open-webui spec: containers: - name: open-webui image: ghcr.io/open-webui/open-webui:main env: - name: ENABLE_OPENAI_API value: "true" - name: OPENAI_API_BASE_URL value: "https://taotoken.net/api" - name: OPENAI_API_KEY valueFrom: secretKeyRef: name: taotoken-openwebui key: OPENAI_API_KEY ports: - containerPort: 8080在 TaoToken 官网（https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_content=openwebui_key_injection）创建 Key 时，建议按用途命名，例如：
openwebui-prod-webopenwebui-staging-webclaude-code-devcodex-localcc-switch-personal
命名清晰后，排查 401 会快很多。你可以在网关侧看到某个 Key 的调用情况，而不必在 Open WebUI 容器里逐个翻环境变量。轮换 Key 时，也只需要更新 Secret 并重启对应工作负载。
4.3 不要把上游 Key 注入浏览器
有些团队为了让前端“直接调用模型”，会把 Key 写到前端环境变量。这是错误的。Open WebUI 是服务端应用，浏览器只与 Open WebUI 服务通信。模型调用链应该是：
- 浏览器访问 Open WebUI。
- Open WebUI 服务端读取
OPENAI_API_KEY。 - Open WebUI 服务端请求
https://taotoken.net/api。 - TaoToken 返回模型结果。
- Open WebUI 把结果流式返回浏览器。
这条链路里，Key 只存在于服务端。网关层只负责 Open WebUI 的入口 TLS、认证、限流和日志脱敏，不负责把模型 Key 发给浏览器。
5. Claude Code、Codex、CC Switch 如何共用同一网关
Open WebUI 是多模型入口，Claude Code、Codex、CC Switch 是编码工具配置。它们可以共用 TaoToken 的 Base URL，但配置格式必须分开写。尤其注意：ANTHROPIC_*只用于 Claude Code 或 Anthropic 兼容工具，不要复制到 Codex 的config.toml。
5.1 Claude Code 的 settings.json
Claude Code 常用~/.claude/settings.json或项目级 settings。配置示例：
{ "env": { "ANTHROPIC_BASE_URL": "https://taotoken.net/api", "ANTHROPIC_AUTH_TOKEN": "YOUR_API_KEY", "ANTHROPIC_MODEL": "YOUR_CLAUDE_MODEL_ID", "ANTHROPIC_SMALL_FAST_MODEL": "YOUR_CLAUDE_FAST_MODEL_ID" } }也可以在 shell 中临时注入：
export ANTHROPIC_BASE_URL="https://taotoken.net/api" export ANTHROPIC_AUTH_TOKEN="YOUR_API_KEY" export ANTHROPIC_MODEL="YOUR_CLAUDE_MODEL_ID"这里的 Key 同样建议从 TaoToken 官网创建，不要用 Open WebUI 的生产 Key。Claude Code 属于个人开发工具，适合用独立 Key，方便按开发者或项目追踪用量。如果遇到 404，先检查ANTHROPIC_BASE_URL是否被错误写成了某个带/v1/chat/completions的完整路径。通常只需要填 Base URL，由客户端自己拼接具体接口。
5.2 CC Switch 三件套
CC Switch 这类配置切换工具，核心是管理三件套：
- Base URL：
https://taotoken.net/api - API Key / Token：
YOUR_API_KEY - Model：
YOUR_CLAUDE_MODEL_ID
在 CC Switch 中新建一个 Profile，例如TaoToken-ClaudeCode，然后把上述三项填进去。如果它最终写入 Claude Code 配置，通常会落到ANTHROPIC_BASE_URL、ANTHROPIC_AUTH_TOKEN、ANTHROPIC_MODEL三个变量上。切换 Profile 时，确认旧的ANTHROPIC_BASE_URL没有残留在 shell 或项目.env中，否则会出现“改了 CC Switch 但命令仍然走旧地址”的情况。
5.3 Codex 的 config.toml
Codex 不要使用ANTHROPIC_*。它应使用自己的配置文件和 OpenAI 风格的环境变量。示例：
model = "YOUR_CODEX_MODEL_ID" model_provider = "taotoken" [model_providers.taotoken] name = "TaoToken" base_url = "https://taotoken.net/api" env_key = "TAOTOKEN_API_KEY" wire_api = "chat"环境变量：
export TAOTOKEN_API_KEY="YOUR_API_KEY"如果你的模型要求 Responses API，把wire_api按 TaoToken 模型文档调整。重点是：Codex 的env_key指向TAOTOKEN_API_KEY或OPENAI_API_KEY，而不是ANTHROPIC_AUTH_TOKEN。混用会导致 Codex 读不到 Key，表现为 401 或直接不发起请求。
5.4 多工具共用网关时的 Key 边界
推荐做法：
| 工具 | 建议 Key | 配置入口 |
|---|---|---|
| Open WebUI | openwebui-prod-web | 服务端环境变量 / Secret |
| Claude Code | claude-code-{user} | settings.json / ANTHROPIC_* |
| Codex | codex-{user} | config.toml / TAOTOKEN_API_KEY |
| CC Switch | cc-switch-{profile} | Profile 三件套 |
这样每个工具的出入口清晰，轮换和审计都简单。不要把同一个 Key 发给所有工具，也不要把 Key 提交到仓库。
6. Open WebUI 多模型路由与排障清单：401、模型列表为空、流式截断、重名
配置完成后，平台工程最关心的是故障定位。下面按症状给排查顺序。
6.1 模型列表为空
- 检查 Open WebUI 容器内是否读到
OPENAI_API_BASE_URL和OPENAI_API_KEY。 - 检查 URL 是否为
https://taotoken.net/api，是否被重复拼/v1。 - 检查 Key 是否有模型访问权限。
- 检查 Open WebUI 出口网络是否能访问 TaoToken。
- 如果使用 Docker Compose，确认环境变量在
open-webui服务下，而不是写在其他服务下。
可以在容器内执行：
docker exec -it open-webui env | grep -E "OPENAI_API_BASE_URL|ENABLE_OPENAI_API"不要打印完整 Key。只确认变量存在即可。
6.2 401 / Unauthorized
- Open WebUI 服务端 Key 是否有效。
- 是否误用了已删除或过期的 Key。
- 网关是否改写或丢弃了
Authorization头。 - 是否在 Nginx 日志中记录了 Key，导致后续人工复制错误。
- Claude Code 是否把
ANTHROPIC_AUTH_TOKEN写成了空值。 - Codex 是否仍在读旧的
OPENAI_API_KEY，而不是TAOTOKEN_API_KEY。
建议在 TaoToken 控制台按 Key 维度看调用记录。如果某个 Key 完全没有请求，问题在客户端配置；如果有请求但 401，问题在 Key 权限或请求头。
6.3 流式输出截断
- Nginx 增加
proxy_buffering off。 - 增加
proxy_read_timeout和proxy_send_timeout。 - 检查云负载均衡是否开启响应缓冲。
- 检查 Open WebUI 版本是否需要额外 WebSocket 配置。
- 检查上游是否因为长上下文触发超时。
流式输出问题通常不是模型本身，而是中间层缓冲。平台工程应把 Open WebUI 的入口超时设置得比普通 Web 应用更长，同时限制单次请求体大小，防止滥用。
6.4 WebSocket 401 或 502
- Nginx 必须设置
Upgrade和Connection。 - Caddy 默认支持 WebSocket，但自定义代理时要注意超时。
- 如果前面还有一层云 WAF，确认 WAF 没有拦截 WebSocket。
- 检查 Open WebUI 的
WEBUI_SECRET_KEY是否在重启后变化，导致会话失效。
6.5 模型重名与路由混乱
Open WebUI 会显示上游返回的模型 ID。如果多个供应商返回相似名称，用户会选错。解决方式：
- 在 TaoToken 网关层使用统一别名。
- Open WebUI 只保留一个 OpenAI 兼容连接。
- 在管理面板隐藏不常用模型。
- 不同工作区用不同模型白名单。
这样 Open WebUI 的多模型入口才是“可管理入口”，而不是“模型堆叠页面”。
7. 文末 CTA：从模型对话到 Coding Plan 到 API Key 到 Claude Code 文档
如果你准备把 Open WebUI、Claude Code、Codex、CC Switch 接到同一套网关，建议按这个顺序落地：
- 先到模型对话验证模型 ID 和基础可用性：模型对话
- 再按使用强度选择 Coding Plan：Coding Plan
- 然后创建独立 API Key，供 Open WebUI 和编码工具分开使用：创建 API Key
- 最后按 Claude Code 文档完成 settings.json、ANTHROPIC_* 或 CC Switch 三件套配置：Claude Code 文档
生产落地时记住三件事：Open WebUI 的 Base URL 填https://taotoken.net/api；Key 从 TaoToken 官网创建并通过 Secret 注入；网关层负责入口、反代、限流和审计，不把上游 Key 暴露给浏览器。这样 Open WebUI 就是一个可控的多模型入口，TaoToken 则稳定地待在网关层，承接 Open WebUI、Claude Code、Codex 和 CC Switch 的模型调用。
