v0.1 Codex Backend 规格

Codex backend 是 AgentRun v0.1 的第一真实 Code Agent backend 候选。它用于证明 runner、backend adapter、Kubernetes Secret projection、真实 provider 调用、event normalization 和 terminal status 的完整闭环。

在系统中的职责划分

作为 backendProfile=codex 的具体实现。
使用真实 Codex/Codex-compatible 配置执行最短 turn，不使用 fake provider 作为综合联调通过证据。
消费 Kubernetes Secret projection 提供的 Codex 凭据文件。
把 Codex 输出归一化为 AgentRun 标准 events 和 terminal status。
将 provider/auth/protocol/timeout/cancel 错误映射为 spec-v01-backend-adapter.md 定义的 failureKind。

测试凭据来源

v0.1 综合联调用的 Codex 测试凭据源固定为 operator 环境中的以下两个文件：

~/.codex/auth.json
~/.codex/config.toml

这两个文件只能作为 Kubernetes Secret 创建或轮换的输入源，不能通过 hostPath 挂载进 Pod，不能复制进镜像，不能提交到 source branch、GitOps branch、artifact catalog、issue、PR、event、trace、日志或 CLI 输出。

v0.1 默认 Kubernetes Secret：

对象	v0.1 规格
Namespace	`agentrun-v01`
Secret name	`agentrun-v01-provider-codex`
Secret key	`auth.json`，来自 `~/.codex/auth.json`
Secret key	`config.toml`，来自 `~/.codex/config.toml`
Consumer	runner 或 backend adapter Pod
Projection target	容器用户的 `~/.codex/auth.json` 和 `~/.codex/config.toml`
File mode	只读，建议 `0400` 或等价最小权限

Kubernetes Secret 的创建、轮换和权限控制属于集群密钥管理流程；source branch 只声明 SecretRef 名称、key 和 mount intent。deploy/deploy.json 和 rendered GitOps manifest 不得包含 Secret data。

Runtime 行为

Adapter 必须在调用 Codex 前验证 auth.json 和 config.toml 均存在且可读；缺失时返回 secret-unavailable。
Codex 运行时必须使用被投影的 .codex 目录；不得 fallback 到镜像内默认凭据或节点宿主机 ~/.codex。
若 config.toml 指向 hyueapi 或其他 OpenAI-compatible upstream，runner/backend Pod 的 proxy 与 NO_PROXY 必须保持该配置可用；不得在日志中打印完整 auth/config 内容。
模型名、provider profile、upstream host 可以作为 redacted metadata 输出；provider credential、token、Authorization header 和文件内容不得输出。
一个最短 turn 至少要产生 backend_status、一个 assistant 或 error event、以及 terminal_status。

与 Secret 分发规格的关系

spec-v01-secret-distribution.md 是 SecretRef、Kubernetes projection、redaction 和 missing secret failure 的权威。本文件只定义 Codex backend 对测试凭据文件的消费方式。

Run 的 executionPolicy.secretScope 应引用 agentrun-v01-provider-codex 的 auth.json 和 config.toml，而不是携带 provider credential 或文件内容。

测试规格

T1 Codex Secret projection

阅读 AGENTS.md、本文和 spec-v01-secret-distribution.md，然后在 agentrun-v01 中通过 Kubernetes Secret 管理把 operator 的 ~/.codex/auth.json 与 ~/.codex/config.toml 注入为 agentrun-v01-provider-codex。确认 runner/backend Pod 只能看到投影后的 ~/.codex/auth.json 和 ~/.codex/config.toml，没有 hostPath，日志和 event 不显示文件内容。

T2 真实 Codex 最短 turn

阅读本文和 spec-v01-validation.md，然后用 backendProfile=codex 创建真实 run 并提交一个最短 turn command。确认 runner 调用真实 Codex provider，manager 可查询 backend_status、assistant 或 error event、terminal_status，且 Secret value 未泄露。

T3 Missing auth/config failure

阅读本文，然后分别移除或改名 Secret 中的 auth.json、config.toml key，启动真实 run。确认 adapter 在调用 provider 前失败为 secret-unavailable，failure response 为 JSON，日志不包含 Secret value。

T4 Provider auth failure

阅读本文，然后使用无效的 Codex Secret 创建 run。确认 backend 返回 provider-auth-failed 或等价 failureKind，记录上游状态分类和 trace correlation，但不打印 Authorization header、token 或 auth/config 文件内容。

规格的实现情况

规格项	状态	说明
Codex backend 规格	已定义	本文为 v0.1 第一真实 backend 权威。
Codex Secret projection	未实现	需要后续 Kubernetes Secret 和 runner/backend manifest。
Codex adapter	未实现	需要后续代码实现。
真实 provider turn	未实现	综合联调必须真实完成后才能发布通过。
hostPath `~/.codex`	不采用	只能通过 Kubernetes Secret projection 注入。

4.9 KiB Raw Blame History Unescape Escape