在 Amazon Quick 里把 Slack 连上 Work Agent授权页转完一圈回到 Quick 控制台Work Agent 一执行动作就弹 401 Unauthorized或者 Connectors 页面直接提示 OAuth 授权失败——这种场景下先别急着反复点“重新授权”。把报错原文、Connector 名称、Slack App 配置页截图先留全然后打开 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_content 创建一把 Key把 Codex 的 Base URL 填成 https://taotoken.net/api。TaoToken 在这里的角色是统一 API 通道让 Codex 能稳定读取你贴过去的 Quick 连接器文档片段、Slack OAuth 报错和 token 信息帮你把“Quick 侧权限没给够”和“Slack 侧 token 过期或被撤销”分开。否则你会在 Quick 控制台、Slack 后台、AWS 账号权限页之间来回切切到最后连刚才改过哪个 scope 都记不清。1. Amazon Quick 的 Slack 401先把报错原文、Connector 名称和授权时间抓全1.1 401 Unauthorized 和 OAuth 授权失败在 Quick 里不是同一个环节Quick 的 Connectors 负责把 Slack、Jira、Salesforce、Google Workspace 这些外部工具接进来Work Agent 再通过这些连接执行动作比如在 Slack 发消息、在 Jira 建任务、从 Salesforce 拉记录。问题也常出在这里Connectors 页面显示“已连接”不代表 Work Agent 执行时 token 一定还能用。如果报错发生在点击“授权”之后立刻返回通常是 OAuth 链路没走通redirect URI 不匹配、scope 没勾全、Slack App 被工作区管理员限制。如果连接器状态显示正常但 Work Agent 一跑就 401那更像执行阶段的 token 被 Slack 拒绝token 被撤销、refresh token 过期、执行身份没有目标频道权限或者 Quick 侧存的 token 和 Slack 侧实际安装的 App 对不上。把这两类错误分开后面的排查才不会乱。你可以先用一句话记录是在 Connectors 授权时失败还是在 Work Agent 运行时失败。这个信息对 Codex 很重要因为它决定了先查 OAuth 配置还是先查 token 生命周期。1.2 排查前先留档五样东西少一样都会来回切控制台在打开 Codex 之前把下面五样东西集中到一个文本文件里。第一报错原文包括 HTTP 状态码、Slack 返回的 error 字段、request ID、发生时间。第二Quick 里的 Connector 名称和 Work Agent 名称如果有多个 Slack 连接器要写清楚是哪一个。第三Slack App 的 OAuth Permissions 页面截图或复制内容重点看 Redirect URLs、Bot Token Scopes、User Token Scopes。第四授权时间、授权账号、Slack 工作区名称、频道名称和频道类型公开频道、私有频道、外部共享频道在权限上完全不同。第五Quick 连接器文档里对应的回调地址和权限范围要求如果你手头没有就让 Codex 根据你贴的报错去对照。这些材料看起来琐碎但能省掉大量重复沟通。Codex 不会帮你点按钮它擅长的是把零散信息对齐成检查清单。你给的信息越接近原始状态它越不容易给出泛泛的“重新授权试试”。2. 让 Codex 走 TaoToken 通道Base URL 填 https://taotoken.net/api2.1 从官网创建 YOUR_API_KEY模型 ID 以模型广场为准打开 TaoToken 完成注册进入控制台创建一把 API Key。复制出来的值不要直接写进文章或截图用 YOUR_API_KEY 代替。Key 创建入口在控制台里后面如果要在模型对话里验证也用同一把 Key。模型 ID 不要凭记忆写。去官网模型广场看当时可用的列表把对应的 ID 复制到 Codex 配置里。不同时间上架的模型可能不同所以这里不写固定型号统一写 YOUR_MODEL_ID以模型广场当时列表为准。TaoToken 的接口 Base URL 是 https://taotoken.net/api末尾不要加 /v1。官网落地页和填进工具的 Base URL 是两回事别把查询参数带到 API 地址上。2.2 在 ~/.codex/config.toml 里新增 taotoken providerCodex 的配置走 ~/.codex/config.toml。不要覆盖你原来的 OpenAI provider新增一个 provider 即可。下面这份配置可以直接改model YOUR_MODEL_ID model_provider taotoken [model_providers.taotoken] name TaoToken base_url https://taotoken.net/api env_key TAOTOKEN_API_KEY保存后在终端里导出 Keyexport TAOTOKEN_API_KEYYOUR_API_KEY codex如果你用的是 Windows PowerShell导出方式换成对应的环境变量写法。base_url这一行必须是 https://taotoken.net/api不要写成 https://taotoken.net/api/v1也不要把官网地址填进去。配置完成后Codex 的请求会走 TaoToken 的兼容通道你就能在同一个对话里贴 Quick 报错、Slack App 配置和连接器文档片段。2.3 给 Codex 的排查提示词先列检查清单不要直接下结论不要只丢一句“Slack 401 怎么修”。把 1.2 收集的材料贴进去然后要求 Codex 按顺序输出检查项。可以用下面这个模板我在 Amazon Quick 里配置 Work Agent 的 Slack Connector 时遇到 401。 报错原文 ... Quick Connector 名称 Work Agent 名称 Slack App 的 Redirect URI Slack App 的 Bot Token Scopes Slack App 的 User Token Scopes 授权时间 授权账号 目标频道类型 请先不要给最终结论。按这个顺序输出检查清单 1. Quick 连接器文档里要求的 redirect URI 可能是什么 2. 当前 Slack App 配置缺哪些项 3. token 刷新链路可能断在哪一步 4. 哪些信息需要我回 Quick 控制台或 Slack 后台核对 5. 每一步的验证命令或页面路径。这样问的好处是Codex 会先把“需要核对的事实”列出来而不是直接让你重新安装 App。你拿着清单回 Quick 控制台逐项对照每改一项就记录一次最后再把新报错贴回去形成闭环。3. Quick 连 Slack 的 OAuth 链路401 通常断在这四个地方3.1 Redirect URI 与 Quick 连接器回调地址对不上Quick 的 Connectors 在 Slack 授权流程里会扮演 OAuth 客户端Slack 授权完成后要把 code 回调到 Quick 指定的地址。如果 Slack App 的 OAuth Permissions 页面里没有登记这个 Redirect URL或者协议、域名、路径、末尾斜杠有任何差异Slack 会直接拒绝Quick 侧往往只显示“授权失败”。排查时不要只看域名。把 Quick 连接器详情页里的回调地址复制出来和 Slack App 里的 Redirect URLs 逐字比对。注意测试环境和生产环境可能用不同地址Slack App 里是否两个都登记了。如果 Quick 文档给的是固定回调就不要自己改成 localhost 或自定义域名。改完 Redirect URLs 后Slack App 通常需要重新安装或重新授权旧 token 不会自动继承新配置。3.2 Slack App 的 Scopes 覆盖不了 Work Agent 要执行的动作OAuth 成功不代表权限够。Work Agent 要执行的动作决定了它需要哪些 scope。如果 Quick 连接器文档要求用户级授权而 Slack App 只配了 bot token scopes执行时就可能被 Slack 拒绝。Slack 对缺少 scope 的返回有时是 401有时是 missing_scope不能只凭状态码判断。检查方式是把 Work Agent 的动作拆开读频道历史、发送消息、查用户信息、访问私有频道分别需要不同的 scope。具体名称以 Slack App 配置页和 Quick 连接器文档为准不要照搬网上通用列表。每次增加 scope 后必须重新安装 Slack App 并重新授权 Quick 连接器否则 Quick 手里还是旧 token。改完 scope 后先回到 Connectors 里看连接器状态再去 Work Agent 里跑最小动作。3.3 Refresh Token 过期、被撤销或安装者离开工作区有一类 401 是“刚授权能用过几天 Work Agent 跑就失败”。这通常和 token 刷新有关。如果 Quick 使用的是短期 token就需要 refresh token 轮换。refresh token 过期、被撤销、或者 Slack App 的安装者离开工作区、被停用、移除应用都会让刷新失败。排查时看三个地方Slack App 的 Install App 页面Quick 连接器详情里的授权账号以及 Slack 工作区管理员是否对 App 做了限制。如果安装者已经不在工作区重新授权时换一个稳定的服务账号或管理员账号。重新授权前先把 Quick 里的旧连接器禁用再撤销 Slack App 旧授权避免新旧 token 混在一起。Quick 的 Connectors 有时会缓存旧凭证禁用再启用比直接点“重新连接”更干净。3.4 Quick 执行身份与 Slack 授权身份错位Work Agent 执行动作时用的身份可能不是你在 Slack 里授权的那个个人账号。如果 Quick 侧配置了服务身份而 Slack 授权是个人身份就会出现“授权成功但执行 401”的情况。另一种常见错位是授权账号在 Slack 工作区里没有目标频道权限或者目标频道是私有频道、外部共享频道Work Agent 以另一个身份去发消息自然被拒。核对时把 Work Agent 的执行身份、Slack 授权账号、目标频道成员列表放在一起看。如果要让 Work Agent 在私有频道发消息授权账号和机器人身份都要在频道里。不要只在 Quick 控制台看“已连接”要实际用 Slack 的页面确认成员关系。Jira、Salesforce 等连接器也有类似的身份映射问题排查思路可以复用。4. 把 Codex 的检查清单搬回 Quick 控制台逐项验证4.1 重新授权前先禁用连接器并清理旧 token拿到 Codex 的清单后不要直接点“重新授权”。先在 Quick 控制台找到对应的 Slack Connector确认没有其他 Work Agent 正在依赖它然后禁用。接着去 Slack App 的 Install App 页面撤销旧授权或者在 Slack 工作区设置里移除旧 App。这样做的目的是让下一次授权从干净状态开始。如果你有多个 Slack 连接器给它们起能区分的名字比如Slack-销售-生产、Slack-测试。重新授权时确认点的是同一个 App、同一个工作区、同一个账号。授权完成后先不要跑复杂 Work Agent回到 Connectors 页面看状态和授权时间确认 Quick 侧拿到的 token 是刚刚生成的。4.2 用 Slack auth.test 在本地做最小验证Slack 侧 token 是否有效可以用 auth.test 做最小验证。注意这一步由你在本地终端执行不要让 Codex 直接连你的 Slack 工作区或生产系统。把 token 放进环境变量然后运行curl -s -H Authorization: Bearer $SLACK_BOT_TOKEN \ https://slack.com/api/auth.test如果你用的是用户 token把变量换成$SLACK_USER_TOKEN。返回里看ok是否为 true以及team、user是否是你预期的账号。如果这里就失败说明 token 本身无效或已被撤销问题不在 Quick 的 Work Agent。如果这里成功说明 Slack 侧 token 有效401 更可能来自 Quick 的权限映射、scope 覆盖或频道权限。把返回结果贴回 Codex让它对照 Quick 连接器文档继续缩小范围。4.3 回到 Work Agent 只跑一条测试消息验证完 token回到 Quick 里新建一个最小 Work Agent只做一件事向指定频道发一条测试消息。不要同时接 Jira、Salesforce、Google Workspace否则报错会混在一起。运行后观察 Quick 的报错原文记录时间和 request ID。如果这一步成功说明基本链路通了再逐步加动作读频道历史、查用户信息、发私信。每加一个动作跑一次失败就停。这样你能很快定位到是哪一个 scope 或哪一个频道权限缺失。如果最小任务也失败把新的报错原文和刚才 auth.test 的结果一起贴回 Codex让它对比前后差异。排查 Work Agent 连 Slack 的过程本质就是不断缩小“哪一步身份在什么权限下执行了什么动作”。4.4 仍然 401把新报错和请求 ID 再贴回 Codex如果重新授权、补 scope、清 token 之后还是 401不要继续盲试。把新的报错原文、request ID、Quick Connector 状态、Slack App 当前配置、auth.test 返回结果整理成一份更新后的上下文再发给 Codex。让它重新输出检查清单并标出哪些项已经验证、哪些项还没验证。这时候你可能会发现问题不在 Slack而在 Quick 侧创建连接器时选的授权类型或者企业工作区对第三方 App 的限制。Codex 不会替你操作 Quick 控制台但它能把你从“多个控制台来回切”的状态里拉出来变成按清单核对。如果你在 Codex 里调用比较频繁可以回 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_content 看模型广场和控制台用量确认这把 Key 的调用记录。5. 排查收尾模型对话验证、Coding Plan 和控制台 Key 管理5.1 模型对话里用同一把 Key 验证 Codex 配置Codex 配置改完之后先去 TaoToken 模型对话 用同一把 Key 发一条测试消息确认模型 ID 和 Base URL 没填错。如果模型对话正常但 Codex 仍然报错就回头检查 ~/.codex/config.toml 里的base_url是否被改成了带 /v1 的地址或者环境变量TAOTOKEN_API_KEY是否在当前终端生效。模型对话适合快速验证 Key 和模型 IDCodex 适合处理长上下文排查。两边用的是同一套统一 API 通道但配置文件不同不要混用。验证通过后你就可以把 Quick 的报错、Slack 配置、Codex 输出放在一个流程里下一次遇到 Jira 或 Salesforce 连接器 401也能按同样方式排查。5.2 长期写排查提示词看 Coding Plan 是否够用如果你经常用 Codex 读日志、对配置、写排查提示词可以打开 Coding Plan 看套餐是否够用。这里不编造价格和额度具体以页面当时展示为准。关键是把排障用的 Key 和日常写代码的 Key 分开管理避免一个 Key 被多个工具共享后出问题时分不清是哪边调用超了。Coding Plan 更适合长期、连续的编码和排障对话临时试一次 Quick 连接器问题用按量 Key 就够。你可以在控制台里给 Key 起名字比如codex-quick-slack-debug这样看用量时能直接对上是哪一类任务。5.3 控制台 API Keys 管理这把排障 Key最后回到 控制台 API Keys 管理这把 Key。确认它没有被截图泄露必要时重新生成确认调用记录里能看到刚才 Codex 的请求确认模型 ID 和 Base URL 的配置与模型广场一致。如果 Quick 的 Slack 401 已经解决把这次检查清单沉淀成一个模板下次换 Jira、Google Workspace 连接器时直接复用。下一次 Work Agent 再报 401先把新错误和 request ID 贴回 Codex让它按清单核对 redirect URI、scopes、token 刷新和身份映射再去控制台看这次调用有没有正常记上账。