企业官网建设流程全解析

1. 先看懂 pre-receive hook declined：是服务端不想收 master

Git push 被! [remote rejected] master -> master (pre-receive hook declined)弹回来的时候，第一反应通常是权限不够，但绝大多数情况下是 GitLab 把 master 设成了 Protected Branches。这次我把 Codex 的模型通道接到 TaoToken（https://taotoken.net/?utm_source=taotoken_aicg_blog_end ），让 AI 帮着拆解报错，再回 GitLab 的 Protected Branches 里解除保护，推完代码再恢复，整条链路是可以闭环复现的。

先把这个报错拆开看：[remote rejected]表示服务端在接收你的引用（ref）之前就明确拒绝了，而不是网络断了，也不是 SSH key 失效。pre-receive hook declined指的是 Git 服务端在更新任何分支引用之前，会先执行一批钩子脚本，GitLab 正是用这套机制来实现「受保护分支」的规则。也就是说，你的 push 请求已经到达了 GitLab，只是 GitLab 的策略不允许你往这棵分支上写。

如果只有 master 被拒，feat/或其他分支都能正常推，那基本可以锁定是分支保护问题。报错的完整形态通常是这样的：

! [remote rejected] master -> master (pre-receive hook declined) error: failed to push some refs to 'git@gitlab.example.com:group/project.git'

注意error:后面那行地址只是你项目的 SSH 地址，并不是它定位到你的密钥或网络，真正决定成败的是前一行里pre-receive hook的判断结果。GitLab 把「谁可以推送到 master/main」这件事做成了一条策略：分支受保护时，只有被允许的角色（通常是 Maintainers）才能推送，而且还要看该分支的Allowed to push设置。

1.1 为什么不是403而是remote rejected

很多人看到remote rejected会下意识以为本地仓库有问题，于是git status、git remote -v来回看。实际上这个报错和本地仓库完整性没有任何关系。Git 的推送流程是：客户端把对象传过去，服务端先跑pre-receive钩子，钩子通过才更新引用；钩子拒绝就直接在协议层把这次推送打回。

GitLab 的 Protected Branches 功能底层就是注册了pre-receive钩子。钩子检查两件事：你的角色有没有权限，以及这次推送是否触碰了受保护分支。只要其中一项不满足，返回给你的就是pre-receive hook declined。所以收到这个报错，优先去服务端看分支保护状态，而不是在本地重建仓库或者强推。

1.2 为什么临时改分支保护是合理的

你的诉求是「把代码推上 master」，而 GitLab 的策略是「master 不该被随便推」。两者冲突时，最快的方式是：临时解除 master 保护 → 推送 → 立刻恢复保护。这样既完成了代码入库，又不长期破坏分支保护规则。原文里那套「登录 GitLab → 项目 Setting → Protected Branches → 解除 master 保护」的路径，就是针对这个报错最直接的解法。

不过实际操作中，很多人会卡在「找不到 Protected Branches 入口」，或者「解除了还是被拒」。所以下面先花一点篇幅把 Codex 的通道配到 TaoToken，让 AI 来辅助定位，再回到 GitLab 界面一步步操作。

2. 去 TaoToken 拿一把 Codex 能用的 API Key

在开始排查 GitLab 之前，先确保 Codex 能用。如果你现在 Codex 用的是官方通道，网络不稳定、额度有限或者经常遇到限流，都会让你在报错现场卡住。这时候可以去 TaoToken 注册并创建 API Key，把它当作一个统一 API 通道来用。

操作路径很直接：打开 https://taotoken.net/?utm_source=taotoken_aicg_blog_end ，注册登录后进入控制台，创建 API Key。创建时只需要确认一件事：把生成的 Key 复制下来保存好。Key 的格式是一串 token，后面配置 Codex 时要填进环境变量。如果没保存，回控制台重新创建一把就行，旧的会失效。

这里要区分两个地址，后面配置时不会混：

注意 Base URL 末尾不要加/v1，也不要加任何路径。TaoToken 在配置环节只负责提供可用的 API 通道，Key 从官网创建后，填入 Codex 即可。

3. 在 ~/.codex/config.toml 里把供应商指向 TaoToken

Codex 新版统一读取~/.codex/config.toml。如果你之前配过别的供应商，可以先备份原文件，再按下面的结构改。这个文件在 macOS/Linux 下就是家目录下的.codex/config.toml，Windows 则在用户目录下对应的.codex文件夹里。

model = "MODEL_ID" model_provider = "taotoken" [model_providers.taotoken] name = "TaoToken" base_url = "https://taotoken.net/api" env_key = "TAOTOKEN_API_KEY"

model的值不要靠记忆填，去 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 的模型广场看当前列表，复制真实的模型 ID 替换MODEL_ID。别用网上教程里随手写的旧 ID，模型列表会更新。base_url就填https://taotoken.net/api，不带/v1。env_key这个名字可以自己定，它告诉 Codex 去读哪个环境变量来拿 Key。

保存好配置后，导出环境变量：

export TAOTOKEN_API_KEY=YOUR_API_KEY

YOUR_API_KEY换成你从 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 创建的那串 token。不要把 Key 直接写进config.toml，用env_key指向环境变量更安全，也方便多项目复用。

3.1 验证 Codex 是否真的通了

配完之后先跑一条最简单的命令，确认通道没问题，再进入 GitLab 排查。在终端执行：

codex exec "用一句话说明 pre-receive hook declined 的触发条件"

如果 Codex 正常回答，说明 Key、Base URL、模型 ID 三个关键项都对了。如果报 401，检查环境变量有没有 export 成功，或者 Key 是否复制完整。如果报模型相关错误，回模型广场重新复制模型 ID。

3.2 验证失败时先看这两处

最常见的问题有两个：一是base_url写成了https://taotoken.net/api/v1，Codex 会自动拼接路径版本，结果反而 404；二是model_provider写成了taotoken但[model_providers.taotoken]表格名字不一致，导致 Codex 找不到供应商定义。这两处检查完，基本能排除配置层面的问题。

4. 把 Git 报错贴给 Codex，让它按 Protected Branches 给排查顺序

通道通了之后，把真实的 Git 报错原文贴给 Codex。可以用交互模式，也可以用codex exec一次问完：

codex exec "我的 git push 报错了： ! [remote rejected] master -> master (pre-receive hook declined) error: failed to push some refs to 'git@gitlab.example.com:group/project.git' 这是什么原因？给出逐步排查方案，不要让我强推。"

Codex 会先判断这是服务端钩子拒绝，不是本地仓库问题，然后给出类似这样的方向：去 GitLab 项目 Settings → Repository → Protected Branches，确认 master 是否受保护，再看当前账号角色和Allowed to push设置。这正是原文主路径的第一步。

要注意边界：Codex 只负责解释报错文本和给操作步骤，它不会真的登录你的 GitLab 去点按钮。那一步需要你自己在浏览器完成。把 Codex 当成一个能读懂 Git 协议层报错的助手，而不是替你在生产库上执行操作的工具。如果你问的时候明确说了「我有 Maintainer 权限」，它会更精准地指向Unprotect或调整Allowed to push，而不是让你去找服务端管理员。

4.1 如果 Codex 跑偏了，怎么拉回来

有时候 Codex 会建议git push --force，这种回答要直接忽略。pre-receive hook declined跟强不强推没有关系，钩子在更新引用之前就把请求弹回来了，强推只会让服务器记录的拒绝信息更难定位。你可以补充追问：「不要建议任何覆盖历史的操作，只检查 GitLab 分支保护设置。」Codex 会收敛到 Protected Branches 页面。

4.2 顺着报错再确认一次角色

GitLab 的保护规则是「角色 + 分支策略」两层叠加。就算你是 Maintainer，如果某条受保护分支的Allowed to push设置为No one，你照样会被pre-receive hook declined拦下来。所以让 Codex 帮你拆完逻辑后，自己去 Protected Branches 页面看一眼具体的Allowed to push值，而不是只看分支有没有被保护。

5. 到 GitLab 的 Protected Branches 解除 master 保护

登录 GitLab，进入对应的项目页面。不要直接点左侧的 Repository，先看左下角 Settings 区域，展开后选择 Repository，里面再找 Protected Branches 标签页。不同版本的 GitLab 菜单位置有细微差别，但大体路径都是Settings → Repository → Protected Branches。

在这个页面能看到所有受保护分支的列表，每条分支右侧有Unprotect按钮。点击 master 对应的Unprotect，页面会要求确认，确认后 master 会从保护列表里消失。这时候回到终端再跑一次推送：

git push origin master

如果远端还有其他引用需要更新，比如标签，Git 会逐个推送；只要 master 的保护已经解除，这步通常会顺利通过。推完之后不要关掉 Protected Branches 页面，因为下一步还要把保护恢复回去。

5.1 不想解除保护，只想放开推送权限

如果你的团队要求 master 始终处于保护状态，但允许部分角色推送，可以不用Unprotect，而是点击保护分支右侧的编辑按钮，修改Allowed to push为你的角色。比如允许Maintainers推，或者勾选Developers can push。这个方案比「解除-恢复」更保守，适合 master 需要持续保护的项目。原文用的是解除保护，本文保留这个路径，但实际工作中你完全可以按团队规范选更细粒度的方式。

5.2 推完代码后立刻恢复保护

推送成功后，回到刚才的 Protected Branches 页面，点Protect a branch，在下拉框里选择master或者main（看你项目默认分支叫什么）。Allowed to merge和Allowed to push建议都选Maintainers，然后点击 Create。这样 master 就重新受保护了，其他人如果再想绕过 review 直接推，还是会收到pre-receive hook declined。

这里有个容易漏的细节：如果你的项目默认分支是main，但 git 本地分支还叫master，推送时会出现master -> master的映射。解除保护时要把main和master都确认一遍，只要远端存在对应分支名，就都在保护列表里。代码推完之后，恢复保护也以远端实际分支名为准。

6. push 成功之后，马上把 master 重新保护起来

恢复保护这一步不是走过场。分支保护的目的是保证进入 master 的代码经过 review 和 CI。你临时解除保护只为了解决当前提交，如果推完不恢复，后续所有推送都会绕过检查，等于把 GitLab 的策略防线拆掉了。

恢复保护时，Allowed to merge决定谁能把其他分支合并进 master，Allowed to push决定谁能直接往 master 推代码。一般团队会设置：

也就是说，开发者可以通过合并请求合入代码，但不能绕过审查直接 push master。你的项目如果要求更严，把Allowed to push设为No one也可以，这样任何角色都不能直接推送，只能走 MR 合入。这两种配置都不会影响刚才已经推上去的提交，只对后续推送生效。

恢复完再验证一次：

git push origin master

如果返回Everything up-to-date，说明工作区干净，保护规则也已经生效。如果再次被拒，检查保护列表里是否同时存在master和main两条分支，或者当前账号的角色是否真的具备推送权限。恢复保护后，你的推送权限就按新规则走了，之前「能推」不代表之后还能推。

7. 这条链路上常踩的坑对照

把 Codex 通道和 GitLab 排查串在一起后，有几个错误值得单独列出来，遇到时可以直接对照处理。

第一行是原文报错本身，后面几行是配置 Codex 时的新问题。这里要特别强调：不要把 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 这个官网地址填进 Codex 的base_url。官网落地页用于注册、创建 Key、看模型和用量；工具里填的始终是https://taotoken.net/api，两者用途完全不同。

另外，Codex 在本地读终端输出、分析报错文本，这些都是在你的开发机上做推理，它不会主动连你的 GitLab、数据库或生产环境。实际的点按钮、改分支保护、执行推送，都由你本人在 GitLab 网页和终端完成。把 AI 定位成「帮你读报错、给排查路径」的辅助角色，链路才清晰。

8. 跑通之后去控制台对一次调用记录

配置到这里就全部验证完了。刚才那次codex exec是一次真实的模型调用，你可以去 TaoToken 模型对话 里用同一把 Key 再发一条测试消息，确认模型 ID 和 Base URL 没填错；回到 TaoToken 控制台 API Keys 能看到这次调用是否记进了用量记录。如果后面要高频让 Codex 参与排障，可以打开 Coding Plan 看套餐是否够用。之后若想在 Claude Code 里用同一套配置，直接参考 Claude Code 接入文档 对照环境变量就行。