Codex CLI 对远程 MCP 服务执行 OAuth 登录时，流程通常要经过浏览器授权、回调地址、授权码交换和本地凭据保存。`codex mcp login` 能打开网页却最终失败，常见原因不是账号密码，而是 localhost 回调被代理拦截、端口不匹配、远程开发机无法接收本机浏览器回调，或凭据存储方式不可用。按流程节点检查，比反复清空登录状态更快。

一、先确认服务器确实支持 OAuth

不是所有 MCP 服务都使用 OAuth。有些要求 bearer token，有些依赖静态请求头，STDIO 服务还可能从环境变量读取凭据。先查看服务端文档和 Codex的 MCP 配置，确认 HTTP 服务的 auth 方式和授权端点。

使用 `codex mcp list` 或 TUI 的 `/mcp` 查看服务器状态。服务本身连不上、URL 写错或 TLS 失败时，OAuth 还没真正开始。先解决连接层，再处理登录。

二、保留浏览器与终端两侧的错误

OAuth 失败可能只在浏览器显示 redirect_uri mismatch，也可能在终端显示 callback timeout、state mismatch 或 token exchange failed。记录授权页面域名、回调地址、时间和错误码，但不要保存授权码、access token 或 refresh token。

浏览器显示“成功，可以关闭”，终端却仍等待，说明授权可能完成但回调没有到达监听器。浏览器根本打不开授权页，则先查登录 URL、默认浏览器和公司网络。

三、检查 localhost callback 是否被阻止

本地 CLI 通常临时监听 localhost 端口接收回调。防火墙、代理、浏览器安全扩展或端口占用都可能阻止。先确认回调 URL 指向本机，并检查对应端口是否由当前 Codex进程监听。

不要把 localhost 回调随意暴露到公网。临时关闭所有安全软件也不是好方法。应为明确端口和本地进程设置最小允许规则，并在登录结束后确认监听已关闭。

四、何时配置固定 callback port

部分身份提供商要求预先登记精确 redirect URI，此时随机端口无法匹配。可以设置 `mcp_oauth_callback_port` 为允许的固定端口，并在服务端注册完整回调地址。端口必须未被占用，也要符合组织策略。

更换端口后，浏览器缓存的旧授权页可能仍指向原地址。重新启动登录流程，检查新 URL。团队不要每个人随意选择端口，应由管理员给出统一登记和冲突处理方法。

五、远程开发机要处理回调路径

在 SSH、远程容器或开发机上运行 Codex时，浏览器可能在本地电脑打开，但 localhost 指向本地电脑，不是远程进程。此时授权完成也无法送回远端监听器。可使用安全端口转发，或配置服务支持的外部回调入口。

Codex 支持设置 callback URL 以适配远程入口，系统还会为服务器附加具体回调标识。身份提供商必须登记最终派生的完整 URI，而不是只登记基础主机。配置前确认 HTTPS、证书和访问控制。

如果大家想体验一线 AI 编程模型 codex 和 claude，用它们完成 MCP 接入、工具调用和代码修改，可以参考以下教程文档进行接入配置，接入配置好后即可使用。文档教程：https://my.feishu.cn/wiki/NIgLwuuj1ibzJIkLGM0cgVNinzg

六、凭据存储选 auto、file 还是 keyring

`mcp_oauth_credentials_store` 可以决定凭据优先放在哪里。auto 让 Codex选择合适方式；keyring 依赖系统凭据库；file 则需要保护本地文件权限。桌面会话没有可用 keyring、远程服务器缺少图形会话时，保存阶段可能失败。

先使用 auto。若诊断明确指向凭据库，再根据环境选择。使用 file 时确认目录权限，只允许当前用户读取，并纳入设备加密与备份策略。不要把凭据文件放进仓库或同步盘。

七、清理旧凭据要有针对性

服务更换 client ID、scope 或授权服务器后，旧 refresh token 可能不再有效。先从 MCP 管理界面注销目标服务器，再重新登录。不要为了一个服务删除所有 Codex登录和其他 MCP 凭据。

清理后完全退出旧会话，确认没有后台进程继续使用旧 token。重新授权时核对账号和组织，避免浏览器自动选择了错误身份。

八、代理、TLS 和 DNS 会影响授权码交换

浏览器能访问授权页，不代表 CLI 能从令牌端点交换凭据。浏览器和终端可能使用不同代理与证书库。若回调收到后出现 TLS、407 或 DNS 错误，重点检查 Codex进程的网络环境。

企业代理需要可信 CA 时，使用组织提供的证书链，不要关闭 TLS 验证。代理排除列表应只包含确实需要直连的内部地址，范围过大可能绕过安全出口。

九、scope、client 和 redirect URI 必须一致

身份提供商会校验 client、scope 和 redirect URI。服务端升级后若新增权限，旧授权可能得到 403 insufficient_scope。重新授权前先确认服务请求的 scope 是否符合预期，不要盲目接受超出用途的权限。

redirect URI 的协议、主机、端口和路径通常要求精确匹配。多一个斜杠、HTTP 与 HTTPS 不同、回调标识遗漏，都可能失败。把浏览器实际 URL 与提供商登记项逐段比较。

十、登录成功后做最小工具验证

凭据保存成功不等于所有工具可用。重新进入 `/mcp`，确认服务器已认证并发布工具，再调用一个低风险只读工具。随后检查 token 是否能在重启会话后正常刷新。

最终记录服务器名称、传输 URL、回调方式、固定端口、凭据存储、所需 scope 和测试工具。不要记录真实 token。完整排查顺序应是连接、授权页、回调、交换、存储、刷新和工具调用，逐层留证据，OAuth 问题就不会只剩“登录失败”四个字。