企业官网建设流程全解析

1. 容器里跑 CodeX CLI，为什么先撞上 codex: command not found

如果你在 Docker 里跑 CodeX CLI，大概率会遇到这样一串报错：先是codex: command not found，把镜像重新构建后又冒出EACCES: permission denied，接着是ECONNREFUSED，最后卡在OPENAI_API_KEY not set。这四个错误看起来像同一个问题，其实是四层独立故障叠在一起，很多人把它们混着改，结果越改越乱。

CodeX CLI 是 OpenAI 出的命令行编码助手，能在终端里读代码、改文件、跑命令，适合习惯在 shell 里工作的开发者。Docker 则是把它装进容器，保证环境一致、不污染宿主机。两者组合本身没问题，问题出在容器是隔离环境：命令装没装、用户 UID 对不对、网络通不通、环境变量传没传，每一项都要单独确认。

这篇按排障视角走一遍：TaoToken 只负责 Key 和模型通道这一层，command not found仍然要回到 Dockerfile 里装 CodeX，EACCES仍然看--user，网络仍然看--network或--dns。把职责分清楚，排障速度会快很多。下面从 Dockerfile 开始，一步步把容器里的 CodeX CLI 配通。

2. 先拿 TaoToken Key，再谈容器环境变量

在动 Docker 命令之前，先把模型通道这一层准备好。打开 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 注册并创建一个 API Key，这个 Key 就是后面要传进容器的OPENAI_API_KEY。TaoToken 在这里的角色很明确：它提供 Key 和 OpenAI 兼容的模型通道，Base URL 填https://taotoken.net/api，CodeX CLI 就能通过它调用模型。

需要强调的是，TaoToken 不解决command not found。容器里找不到codex命令，是因为镜像里没装，跟 Key 没有任何关系。同样，EACCES是文件权限问题，ECONNREFUSED是网络问题，这些都要在 Docker 层面处理。把 Key 这层单独拎出来，是为了让你在排 Docker 错误时，不用再怀疑是不是 Key 没配对。

拿到 Key 后，建议先写进一个本地 env 文件，比如~/.codex/.env，内容一行：

OPENAI_API_KEY=sk-你的TaoTokenKey

这个文件后面用--env-file传给容器，比每次在命令行里写-e更干净，也不容易漏。注意这个文件不要提交到 git，权限设成600比较稳妥。

3. 可复制的 Dockerfile 与运行命令

3.1 Dockerfile：装 CodeX、建非 root 用户

command not found的根因几乎都是 Dockerfile 里没装 CodeX。基础镜像推荐node:22-slim，自带 Node.js 22 LTS，体积也可控。下面这份 Dockerfile 可以直接抄：

FROM node:22-slim # 安装 CodeX CLI，这一步决定 codex 命令是否存在 RUN npm install -g @openai/codex # 安装 git，CodeX 在容器里操作仓库时需要 RUN apt-get update && apt-get install -y git \ && rm -rf /var/lib/apt/lists/* \ && git config --global --add safe.directory '*' # 用构建参数创建与宿主机 UID 匹配的非 root 用户 ARG USER_ID=1000 ARG GROUP_ID=1000 RUN groupadd -g ${GROUP_ID} codex 2>/dev/null || true \ && useradd -u ${USER_ID} -g ${GROUP_ID} -m codex USER codex WORKDIR /app ENTRYPOINT ["codex"]

关键点有三个：npm install -g @openai/codex保证命令存在；git config --global --add safe.directory '*'避免容器里 git 报 dubious ownership；useradd用构建参数匹配宿主机 UID，从源头减少EACCES。

构建时把当前用户的 UID/GID 传进去：

docker build \ --build-arg USER_ID=$(id -u) \ --build-arg GROUP_ID=$(id -g) \ -t codex-env .

3.2 运行命令：传 Key、挂目录、匹配 UID

镜像构建好后，运行命令要同时处理环境变量、挂载和用户三件事：

docker run -it --rm \ --env-file ~/.codex/.env \ --user $(id -u):$(id -g) \ -v $(pwd):/app \ -w /app \ codex-env \ codex "分析当前目录的代码结构"

--env-file把 TaoToken Key 传进容器，对应OPENAI_API_KEY not set；--user $(id -u):$(id -g)让容器内用户和宿主机一致，对应EACCES；-v $(pwd):/app把项目挂进去，-w /app指定工作目录。如果网络也不通，再加--network host或--dns 8.8.8.8。

3.3 配置 Base URL 指向 TaoToken

CodeX CLI 默认走 OpenAI 官方地址，要让它走 TaoToken 的兼容通道，在容器里设置 Base URL。可以在 env 文件里加一行：

OPENAI_API_KEY=sk-你的TaoTokenKey OPENAI_BASE_URL=https://taotoken.net/api

如果 CodeX CLI 版本对变量名有差异，也可以在容器内用配置文件指定。运行前先确认变量名，避免配了不生效。TaoToken 的 API 地址是https://taotoken.net/api，不带任何多余路径。

4. 验证请求：从 --version 到真实模型调用

排障最忌讳一上来就跑复杂任务。先验证命令存在，再验证 Key 生效，最后才跑真实调用。

第一步，确认codex命令在容器里能找到：

docker run --rm codex-env codex --version

能打印版本号，说明command not found已经解决。如果这一步还报找不到，回到 Dockerfile 检查npm install -g @openai/codex是否真的执行成功，可以进容器手动跑一次：

docker run --rm -it --entrypoint sh codex-env # 容器内执行 which codex npm list -g @openai/codex

第二步，验证环境变量传进去了：

docker run --rm --env-file ~/.codex/.env --entrypoint sh codex-env \ -c 'echo ${OPENAI_API_KEY:0:8}...'

能打印出 Key 前几位，说明--env-file生效。如果打印为空，检查 env 文件路径和变量名。

第三步，跑一次真实模型调用：

docker run -it --rm \ --env-file ~/.codex/.env \ --user $(id -u):$(id -g) \ -v $(pwd):/app \ -w /app \ codex-env \ codex "用一句话说明这个项目是做什么的"

如果返回了模型生成的说明，说明 Key、Base URL、网络、挂载全部打通。这一步成功后再去跑更复杂的编码任务，心里就有底了。

5. 本篇常见错排查

5.1 codex: command not found

这是安装层问题，跟 Key 无关。检查 Dockerfile 是否有npm install -g @openai/codex，构建日志里这一步有没有报错。如果用了多阶段构建，确认最终镜像里保留了全局 node_modules。另外注意ENTRYPOINT ["codex"]和运行时又写codex会重复，二选一即可。

5.2 EACCES: permission denied

容器内用户和宿主机 UID 不一致导致。用--user $(id -u):$(id -g)运行，或在 Dockerfile 里用--build-arg USER_ID=$(id -u)创建匹配用户。如果挂载目录本身权限就乱，先在宿主机修一下：

sudo chown -R $(id -u):$(id -g) .

5.3 ECONNREFUSED

容器网络不通。先测基础连通性：

docker run --rm codex-env \ sh -c "curl -I https://taotoken.net/api --max-time 10"

如果超时，加--network host或指定 DNS：

docker run --dns 8.8.8.8 --dns 1.1.1.1 ...

5.4 OPENAI_API_KEY not set

Key 没传进容器。确认--env-file ~/.codex/.env路径正确，文件里变量名是OPENAI_API_KEY。用-e OPENAI_API_KEY=$OPENAI_API_KEY也可以，但要求宿主机 shell 里已经有这个变量。两种方式别混用，容易覆盖。

5.5 容器内 git 报 dubious ownership

Dockerfile 里加git config --global --add safe.directory '*'。如果镜像已经构建好，也可以在运行时挂载 gitconfig，或进容器手动执行一次。

5.6 容器 OOM 被杀

CodeX 处理大仓库时内存占用会上去。加内存限制和 Node 堆参数：

docker run --memory=4g \ -e NODE_OPTIONS="--max-old-space-size=4096" \ ...

5.7 用 docker-compose 管理复杂配置

参数一多，命令行容易写错。用 compose 把 UID、env、volume 固化下来：

services: codex: build: context: . args: USER_ID: ${UID} GROUP_ID: ${GID} user: "${UID}:${GID}" env_file: - ~/.codex/.env volumes: - ./:/app working_dir: /app command: codex

启动前export UID=$(id -u) GID=$(id -g)，然后docker compose run codex "分析代码"。

6. 排障顺序与长期接入建议

把顺序固定下来，排障会快很多：先看codex --version确认命令存在，再看环境变量是否传入，然后测网络连通性，最后才跑真实调用。这四步对应四类错误，不要跳步。

Key 和模型通道这层交给 TaoToken，创建入口在 https://taotoken.net/?utm_source=taotoken_aicg_blog_end ，Base URL 用https://taotoken.net/api。如果你需要管理多个 Key 或查看用量，可以进控制台 https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_content=console&utm_campaign=rewrite ；想先验证模型对话是否正常，用模型对话页 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_content=models&utm_campaign=rewrite 试一轮；长期在容器里跑编码任务或 Agent，Coding Plan https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding-plan&utm_campaign=rewrite 更适合固定额度；Key 的创建和管理在 API Keys 页面 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite ，接入细节看文档 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite 。

Docker 这层的经验是：把 UID 匹配和 env 文件当成默认配置写进 compose，别每次手敲。command not found永远先查 Dockerfile，EACCES永远先查--user，网络永远先curl一下。这四条线分开走，容器里的 CodeX CLI 基本不会再卡住你。