企业官网建设流程全解析

在 Amazon Quick 里把 Slack 连上 Work Agent，授权页转完一圈回到 Quick 控制台，Work Agent 一执行动作就弹 401 Unauthorized，或者 Connectors 页面直接提示 OAuth 授权失败——这种场景下，先别急着反复点“重新授权”。把报错原文、Connector 名称、Slack App 配置页截图先留全，然后打开 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_content= 创建一把 Key，把 Codex 的 Base URL 填成 https://taotoken.net/api。TaoToken 在这里的角色是统一 API 通道，让 Codex 能稳定读取你贴过去的 Quick 连接器文档片段、Slack OAuth 报错和 token 信息，帮你把“Quick 侧权限没给够”和“Slack 侧 token 过期或被撤销”分开。否则你会在 Quick 控制台、Slack 后台、AWS 账号权限页之间来回切，切到最后连刚才改过哪个 scope 都记不清。

1. Amazon Quick 的 Slack 401：先把报错原文、Connector 名称和授权时间抓全

1.1 401 Unauthorized 和 OAuth 授权失败在 Quick 里不是同一个环节

Quick 的 Connectors 负责把 Slack、Jira、Salesforce、Google Workspace 这些外部工具接进来，Work Agent 再通过这些连接执行动作，比如在 Slack 发消息、在 Jira 建任务、从 Salesforce 拉记录。问题也常出在这里：Connectors 页面显示“已连接”，不代表 Work Agent 执行时 token 一定还能用。

如果报错发生在点击“授权”之后立刻返回，通常是 OAuth 链路没走通：redirect URI 不匹配、scope 没勾全、Slack App 被工作区管理员限制。如果连接器状态显示正常，但 Work Agent 一跑就 401，那更像执行阶段的 token 被 Slack 拒绝：token 被撤销、refresh token 过期、执行身份没有目标频道权限，或者 Quick 侧存的 token 和 Slack 侧实际安装的 App 对不上。

把这两类错误分开，后面的排查才不会乱。你可以先用一句话记录：是在 Connectors 授权时失败，还是在 Work Agent 运行时失败。这个信息对 Codex 很重要，因为它决定了先查 OAuth 配置还是先查 token 生命周期。

1.2 排查前先留档：五样东西少一样都会来回切控制台

在打开 Codex 之前，把下面五样东西集中到一个文本文件里。第一，报错原文，包括 HTTP 状态码、Slack 返回的 error 字段、request ID、发生时间。第二，Quick 里的 Connector 名称和 Work Agent 名称，如果有多个 Slack 连接器，要写清楚是哪一个。

第三，Slack App 的 OAuth & Permissions 页面截图或复制内容，重点看 Redirect URLs、Bot Token Scopes、User Token Scopes。第四，授权时间、授权账号、Slack 工作区名称、频道名称和频道类型，公开频道、私有频道、外部共享频道在权限上完全不同。第五，Quick 连接器文档里对应的回调地址和权限范围要求，如果你手头没有，就让 Codex 根据你贴的报错去对照。

这些材料看起来琐碎，但能省掉大量重复沟通。Codex 不会帮你点按钮，它擅长的是把零散信息对齐成检查清单。你给的信息越接近原始状态，它越不容易给出泛泛的“重新授权试试”。

2. 让 Codex 走 TaoToken 通道：Base URL 填 https://taotoken.net/api

2.1 从官网创建 YOUR_API_KEY，模型 ID 以模型广场为准

打开 TaoToken 完成注册，进入控制台创建一把 API Key。复制出来的值不要直接写进文章或截图，用 YOUR_API_KEY 代替。Key 创建入口在控制台里，后面如果要在模型对话里验证，也用同一把 Key。

模型 ID 不要凭记忆写。去官网模型广场看当时可用的列表，把对应的 ID 复制到 Codex 配置里。不同时间上架的模型可能不同，所以这里不写固定型号，统一写 YOUR_MODEL_ID，以模型广场当时列表为准。TaoToken 的接口 Base URL 是 https://taotoken.net/api，末尾不要加 /v1。官网落地页和填进工具的 Base URL 是两回事，别把查询参数带到 API 地址上。

2.2 在 ~/.codex/config.toml 里新增 taotoken provider

Codex 的配置走 ~/.codex/config.toml。不要覆盖你原来的 OpenAI provider，新增一个 provider 即可。下面这份配置可以直接改：

model = "YOUR_MODEL_ID" model_provider = "taotoken" [model_providers.taotoken] name = "TaoToken" base_url = "https://taotoken.net/api" env_key = "TAOTOKEN_API_KEY"

保存后，在终端里导出 Key：

export TAOTOKEN_API_KEY=YOUR_API_KEY codex

如果你用的是 Windows PowerShell，导出方式换成对应的环境变量写法。base_url这一行必须是 https://taotoken.net/api，不要写成 https://taotoken.net/api/v1，也不要把官网地址填进去。配置完成后，Codex 的请求会走 TaoToken 的兼容通道，你就能在同一个对话里贴 Quick 报错、Slack App 配置和连接器文档片段。

2.3 给 Codex 的排查提示词：先列检查清单，不要直接下结论

不要只丢一句“Slack 401 怎么修”。把 1.2 收集的材料贴进去，然后要求 Codex 按顺序输出检查项。可以用下面这个模板：

我在 Amazon Quick 里配置 Work Agent 的 Slack Connector 时遇到 401。 报错原文： ... Quick Connector 名称： Work Agent 名称： Slack App 的 Redirect URI： Slack App 的 Bot Token Scopes： Slack App 的 User Token Scopes： 授权时间： 授权账号： 目标频道类型： 请先不要给最终结论。按这个顺序输出检查清单： 1. Quick 连接器文档里要求的 redirect URI 可能是什么； 2. 当前 Slack App 配置缺哪些项； 3. token 刷新链路可能断在哪一步； 4. 哪些信息需要我回 Quick 控制台或 Slack 后台核对； 5. 每一步的验证命令或页面路径。

这样问的好处是，Codex 会先把“需要核对的事实”列出来，而不是直接让你重新安装 App。你拿着清单回 Quick 控制台逐项对照，每改一项就记录一次，最后再把新报错贴回去，形成闭环。

3. Quick 连 Slack 的 OAuth 链路：401 通常断在这四个地方

3.1 Redirect URI 与 Quick 连接器回调地址对不上

Quick 的 Connectors 在 Slack 授权流程里会扮演 OAuth 客户端，Slack 授权完成后要把 code 回调到 Quick 指定的地址。如果 Slack App 的 OAuth & Permissions 页面里没有登记这个 Redirect URL，或者协议、域名、路径、末尾斜杠有任何差异，Slack 会直接拒绝，Quick 侧往往只显示“授权失败”。

排查时不要只看域名。把 Quick 连接器详情页里的回调地址复制出来，和 Slack App 里的 Redirect URLs 逐字比对。注意测试环境和生产环境可能用不同地址，Slack App 里是否两个都登记了。如果 Quick 文档给的是固定回调，就不要自己改成 localhost 或自定义域名。改完 Redirect URLs 后，Slack App 通常需要重新安装或重新授权，旧 token 不会自动继承新配置。

3.2 Slack App 的 Scopes 覆盖不了 Work Agent 要执行的动作

OAuth 成功不代表权限够。Work Agent 要执行的动作决定了它需要哪些 scope。如果 Quick 连接器文档要求用户级授权，而 Slack App 只配了 bot token scopes，执行时就可能被 Slack 拒绝。Slack 对缺少 scope 的返回有时是 401，有时是 missing_scope，不能只凭状态码判断。

检查方式是把 Work Agent 的动作拆开：读频道历史、发送消息、查用户信息、访问私有频道，分别需要不同的 scope。具体名称以 Slack App 配置页和 Quick 连接器文档为准，不要照搬网上通用列表。每次增加 scope 后，必须重新安装 Slack App 并重新授权 Quick 连接器，否则 Quick 手里还是旧 token。改完 scope 后，先回到 Connectors 里看连接器状态，再去 Work Agent 里跑最小动作。

3.3 Refresh Token 过期、被撤销，或安装者离开工作区

有一类 401 是“刚授权能用，过几天 Work Agent 跑就失败”。这通常和 token 刷新有关。如果 Quick 使用的是短期 token，就需要 refresh token 轮换。refresh token 过期、被撤销、或者 Slack App 的安装者离开工作区、被停用、移除应用，都会让刷新失败。

排查时看三个地方：Slack App 的 Install App 页面，Quick 连接器详情里的授权账号，以及 Slack 工作区管理员是否对 App 做了限制。如果安装者已经不在工作区，重新授权时换一个稳定的服务账号或管理员账号。重新授权前，先把 Quick 里的旧连接器禁用，再撤销 Slack App 旧授权，避免新旧 token 混在一起。Quick 的 Connectors 有时会缓存旧凭证，禁用再启用比直接点“重新连接”更干净。

3.4 Quick 执行身份与 Slack 授权身份错位

Work Agent 执行动作时用的身份，可能不是你在 Slack 里授权的那个个人账号。如果 Quick 侧配置了服务身份，而 Slack 授权是个人身份，就会出现“授权成功但执行 401”的情况。另一种常见错位是：授权账号在 Slack 工作区里没有目标频道权限，或者目标频道是私有频道、外部共享频道，Work Agent 以另一个身份去发消息，自然被拒。

核对时把 Work Agent 的执行身份、Slack 授权账号、目标频道成员列表放在一起看。如果要让 Work Agent 在私有频道发消息，授权账号和机器人身份都要在频道里。不要只在 Quick 控制台看“已连接”，要实际用 Slack 的页面确认成员关系。Jira、Salesforce 等连接器也有类似的身份映射问题，排查思路可以复用。

4. 把 Codex 的检查清单搬回 Quick 控制台逐项验证

4.1 重新授权前先禁用连接器并清理旧 token

拿到 Codex 的清单后，不要直接点“重新授权”。先在 Quick 控制台找到对应的 Slack Connector，确认没有其他 Work Agent 正在依赖它，然后禁用。接着去 Slack App 的 Install App 页面撤销旧授权，或者在 Slack 工作区设置里移除旧 App。这样做的目的是让下一次授权从干净状态开始。

如果你有多个 Slack 连接器，给它们起能区分的名字，比如Slack-销售-生产、Slack-测试。重新授权时确认点的是同一个 App、同一个工作区、同一个账号。授权完成后，先不要跑复杂 Work Agent，回到 Connectors 页面看状态和授权时间，确认 Quick 侧拿到的 token 是刚刚生成的。

4.2 用 Slack auth.test 在本地做最小验证

Slack 侧 token 是否有效，可以用 auth.test 做最小验证。注意：这一步由你在本地终端执行，不要让 Codex 直接连你的 Slack 工作区或生产系统。把 token 放进环境变量，然后运行：

curl -s -H "Authorization: Bearer $SLACK_BOT_TOKEN" \ https://slack.com/api/auth.test

如果你用的是用户 token，把变量换成$SLACK_USER_TOKEN。返回里看ok是否为 true，以及team、user是否是你预期的账号。如果这里就失败，说明 token 本身无效或已被撤销，问题不在 Quick 的 Work Agent。如果这里成功，说明 Slack 侧 token 有效，401 更可能来自 Quick 的权限映射、scope 覆盖或频道权限。把返回结果贴回 Codex，让它对照 Quick 连接器文档继续缩小范围。

4.3 回到 Work Agent 只跑一条测试消息

验证完 token，回到 Quick 里新建一个最小 Work Agent，只做一件事：向指定频道发一条测试消息。不要同时接 Jira、Salesforce、Google Workspace，否则报错会混在一起。运行后观察 Quick 的报错原文，记录时间和 request ID。

如果这一步成功，说明基本链路通了，再逐步加动作：读频道历史、查用户信息、发私信。每加一个动作，跑一次，失败就停。这样你能很快定位到是哪一个 scope 或哪一个频道权限缺失。如果最小任务也失败，把新的报错原文和刚才 auth.test 的结果一起贴回 Codex，让它对比前后差异。排查 Work Agent 连 Slack 的过程，本质就是不断缩小“哪一步身份在什么权限下执行了什么动作”。

4.4 仍然 401：把新报错和请求 ID 再贴回 Codex

如果重新授权、补 scope、清 token 之后还是 401，不要继续盲试。把新的报错原文、request ID、Quick Connector 状态、Slack App 当前配置、auth.test 返回结果整理成一份更新后的上下文，再发给 Codex。让它重新输出检查清单，并标出哪些项已经验证、哪些项还没验证。

这时候你可能会发现，问题不在 Slack，而在 Quick 侧创建连接器时选的授权类型，或者企业工作区对第三方 App 的限制。Codex 不会替你操作 Quick 控制台，但它能把你从“多个控制台来回切”的状态里拉出来，变成按清单核对。如果你在 Codex 里调用比较频繁，可以回 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_content= 看模型广场和控制台用量，确认这把 Key 的调用记录。

5. 排查收尾：模型对话验证、Coding Plan 和控制台 Key 管理

5.1 模型对话里用同一把 Key 验证 Codex 配置

Codex 配置改完之后，先去 TaoToken 模型对话 用同一把 Key 发一条测试消息，确认模型 ID 和 Base URL 没填错。如果模型对话正常，但 Codex 仍然报错，就回头检查 ~/.codex/config.toml 里的base_url是否被改成了带 /v1 的地址，或者环境变量TAOTOKEN_API_KEY是否在当前终端生效。

模型对话适合快速验证 Key 和模型 ID；Codex 适合处理长上下文排查。两边用的是同一套统一 API 通道，但配置文件不同，不要混用。验证通过后，你就可以把 Quick 的报错、Slack 配置、Codex 输出放在一个流程里，下一次遇到 Jira 或 Salesforce 连接器 401，也能按同样方式排查。

5.2 长期写排查提示词看 Coding Plan 是否够用

如果你经常用 Codex 读日志、对配置、写排查提示词，可以打开 Coding Plan 看套餐是否够用。这里不编造价格和额度，具体以页面当时展示为准。关键是把排障用的 Key 和日常写代码的 Key 分开管理，避免一个 Key 被多个工具共享后，出问题时分不清是哪边调用超了。

Coding Plan 更适合长期、连续的编码和排障对话；临时试一次 Quick 连接器问题，用按量 Key 就够。你可以在控制台里给 Key 起名字，比如codex-quick-slack-debug，这样看用量时能直接对上是哪一类任务。

5.3 控制台 API Keys 管理这把排障 Key

最后回到 控制台 API Keys 管理这把 Key。确认它没有被截图泄露，必要时重新生成；确认调用记录里能看到刚才 Codex 的请求；确认模型 ID 和 Base URL 的配置与模型广场一致。如果 Quick 的 Slack 401 已经解决，把这次检查清单沉淀成一个模板，下次换 Jira、Google Workspace 连接器时直接复用。

下一次 Work Agent 再报 401，先把新错误和 request ID 贴回 Codex，让它按清单核对 redirect URI、scopes、token 刷新和身份映射，再去控制台看这次调用有没有正常记上账。