1. 先别急着换网络10013 大概率不是端口被占用如果你在 Windows 上跑codex login浏览器授权页面刚弹出来终端就甩出一行红字Sign-in failed: {code:-32603,message:failed to start login server: 以一种访问权限不允许的方式做了一个访问套接字的尝试。 (os error 10013)}英文系统下则是An attempt was made to access a socket in a way forbidden by its access permissions. (os error 10013)。这个报错的核心含义是Codex 想在本地起一个临时 HTTP 服务默认127.0.0.1:1455来接收 OAuth 回调但 Windows 拒绝了这个绑定动作。关键在于它不是普通的“端口被占用”。你用netstat -ano | findstr 1455去看很可能什么都查不到端口干干净净。真正的原因是 Windows 的动态端口保留范围Excluded Port Range当系统启用了 Hyper-V、WSL2、容器网络组件后会预留一批 TCP 端口段给这些虚拟化组件内部使用。如果 1455 恰好落在保留段里即使没有任何进程占用它系统底层也会直接拒绝绑定返回 10013。所以排查方向要改不是找“谁占用了端口”而是确认“这个端口是不是被系统预留了”。本文会先带你用netsh确认根因再给出几种从快到稳的修复方案最后结合 TaoToken 统一 Key 通道把 Codex 的工具侧配置一次性配好让登录和后续请求都走通。适合人群Windows 10/11 上使用 Codex CLI、开了 WSL2 或 Docker Desktop、遇到 10013 登录失败、想顺手把 API 通道也统一管理的开发者。2. 用 netsh 确认端口保留锁定 10013 的真实根因2.1 一条命令看清系统预留了哪些端口以管理员身份打开 PowerShell 或 CMD执行netsh interface ipv4 show excludedportrange protocoltcp输出会是一张表类似Protocol tcp Port Exclusion Ranges Start Port End Port ---------- -------- 1445 1544 ...如果 1455 落在1445 - 1544这样的区间里根因就确认了Codex 的登录回调端口被系统预留绑定必然失败。这一步是整个排查的分水岭——确认了它你就不用再去折腾防火墙、代理、DNS 这些无关方向。2.2 为什么只有 Windows 会这样macOS 和 Linux 没有和 Hyper-V 完全对应的“系统级端口保留”机制。它们的端口检测更直接被占用就是被占用没占用就能绑定。所以 10013 基本是 Windows 平台特有的现象尤其在开启了虚拟化功能的机器上高频复现。2.3 顺手确认端口当前是否真的空闲netstat -ano | findstr :1455如果这条命令没有输出说明没有进程占用 1455进一步印证问题出在系统预留而非进程占用。这两条命令配合使用能帮你把“端口被占用”和“端口被保留”彻底区分开。3. TaoToken 前置统一 Key 通道避免登录后再踩配置坑登录问题解决后下一步就是让 Codex 能正常发请求。这里我建议直接用 TaoToken 做统一 Key 通道原因是Codex 这类工具通常需要配置 base_url 和 api_key如果你同时用多个模型工具每个都单独填一套 Key 很容易乱。TaoToken 提供一个统一的 API 入口把 Key 管理集中起来。你需要先拿到两样东西第一一个可用的 API Key。登录 TaoToken 控制台在 API Keys 页面创建https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite第二确认 API 基地址。TaoToken 的 API 入口是https://taotoken.net/api注意这个地址不带任何查询参数配置时直接填这个即可。模型对话相关的功能可以在模型对话页体验https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_contentmodelsutm_campaignrewrite如果你后续要做长期编码或 Agent 类任务可以了解 Coding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite接入文档在这里配置参数以文档为准https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite拿到 Key 之后先别急着改 Codex 配置我们先把登录问题解决掉再统一配置通道。4. 可复制配置修复 10013 并接上统一 Key 通道4.1 方案一临时停用网络服务后重新登录最快这是应急首选不需要重启适合只想快速登录一次的场景。以管理员身份执行net stop winnat net stop hns net stop vmms停用后立刻重试登录codex login登录成功后务必恢复服务否则 Docker Desktop、WSL2 的网络可能异常net start winnat net start hns net start vmms注意停用期间容器网络和 WSL2 网络会暂时不可用建议在没有重要任务运行时操作。4.2 方案二调整动态端口保留范围长期稳定如果经常遇到从系统层面调整让常用开发端口不再被预留。先查看当前范围netsh int ipv4 show excludedportrange protocoltcp然后调整动态端口起始范围避开常用端口段netsh int ipv4 set dynamicport tcp start49152 num16384这条命令需要重启生效。调整后系统分配临时端口的范围变了1455 这类低端口不再容易被纳入保留段。4.3 方案三自定义登录回调端口部分 Codex 版本支持通过环境变量指定登录端口具体参数名以codex --help输出为准$env:CODEX_LOGIN_PORT 18080 codex login换一个明显不在保留段里的端口能绕开绑定失败。4.4 方案四免本地服务器的登录方式如果企业电脑没有管理员权限无法执行net stop优先用这个codex login --no-local-server该模式下浏览器完成授权后会提示你手动复制授权码粘贴回终端从根源上避开本地端口绑定。4.5 Codex 侧 config.toml 骨架登录成功后配置 Codex 走 TaoToken 统一通道。配置文件通常位于~/.codex/config.tomlWindows 下是C:\Users\你的用户名\.codex\config.toml# Codex 配置文件骨架 model gpt-4o [api] base_url https://taotoken.net/api api_key 你的_TaoToken_API_Key注意字段名和层级以你当前 Codex 版本的官方文档为准不同版本可能有差异。接入细节参考 TaoToken 接入文档。4.6 通用 settings.json 骨架如果你的工具链里有其他组件读取settings.json可以这样写{ api: { base_url: https://taotoken.net/api, api_key: 你的_TaoToken_API_Key }, model: gpt-4o }把 Key 集中在一处管理后续换 Key 或加工具时只改这一个文件。5. 验证请求确认登录成功且通道连通5.1 验证登录状态登录完成后先确认 Codex 能识别到已登录codex whoami如果返回账号信息说明登录流程走通了。如果这条命令不存在用codex --help看当前版本提供了哪些状态查询子命令。5.2 发一次最小请求验证通道用一条最简单的请求确认 API 通道连通。以 curl 为例curl https://taotoken.net/api/v1/chat/completions -H Authorization: Bearer 你的_TaoToken_API_Key -H Content-Type: application/json -d {\model\:\gpt-4o\,\messages\:[{\role\:\user\,\content\:\ping\}]}如果返回正常的 JSON 结构包含 choices 字段说明 Key 和 base_url 都配置正确。如果返回 401检查 Key 是否复制完整返回 404检查 base_url 是否多写了或漏写了路径。5.3 在 Codex 里跑一次真实对话codex 用一句话解释什么是端口保留能正常返回内容就说明登录、配置、通道三件事全部打通。这一步是整个流程的最终验收点。6. 本篇常见错排查6.1 停用 winnat 后 Docker 起不来这是预期内的。winnat是 Windows NAT 服务Docker Desktop 和 WSL2 的网络依赖它。停用期间容器网络会异常登录完成后立即net start winnat恢复即可。如果忘了恢复重启电脑也能自动拉起。6.2 调整 dynamicport 后其他程序异常netsh int ipv4 set dynamicport调整的是系统分配临时端口的范围。正规软件通常不会主动占用被排除的端口段实际影响概率很低。但企业环境下修改系统网络配置前建议先记录原始值方便回滚netsh int ipv4 show dynamicport tcp6.3 没有管理员权限怎么办企业电脑常见限制。优先走方案四--no-local-server完全不需要改系统配置。如果该版本不支持联系 IT 协助临时提权执行一次登录或请 IT 调整端口保留范围。6.4 换了网络就好了是网络问题吗不是。切换网络只是偶然绕开了当时被保留的端口段根因始终是系统端口保留机制与代理、防火墙规则无关。别在这个方向上浪费时间。6.5 每次开机都要重新处理吗方案一是临时的每次都要手动操作。方案二和方案四是持久性配置重启后依然生效。如果你经常用 Codex建议直接上方案二。6.6 配置写好了但请求 401先确认 Key 没有多余空格或换行再确认base_url填的是https://taotoken.net/api而不是带其他路径的地址。Key 可以在控制台重新生成https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite6.7 排查清单速查□ 1. netsh interface ipv4 show excludedportrange protocoltcp 确认 1455 是否被保留 □ 2. netstat -ano | findstr :1455 确认端口是否真的空闲 □ 3. 临时停用 winnat/hns/vmms 后重试 codex login □ 4. 登录成功后立即恢复被停用的服务 □ 5. 频繁遇到则调整 dynamicport 范围需管理员重启 □ 6. 无管理员权限优先用 --no-local-server □ 7. 配置 config.toml / settings.json 走 TaoToken 统一通道 □ 8. curl 验证通道连通codex 跑一次真实对话验收7. 把 Key 通道固定下来比每次救火更省事10013 的本质是 Windows 虚拟化组件预留了端口段恰好覆盖了 Codex 登录服务的默认端口。最快的解法是临时停用winnat/hns/vmms后重新登录长期解法是调整动态端口范围或改用免本地服务器的登录方式。登录只是第一步。真正让日常开发顺畅的是把 API 通道固定下来——用 TaoToken 统一管理 KeyCodex 和其他工具都指向同一个base_url换 Key 时只改一处。如果你还在纠结用哪个模型或怎么配接入参数可以先在模型对话页试一下效果https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_contentmodelsutm_campaignrewrite长期做编码或 Agent 任务的话Coding Plan 会更合适https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite配置过程中遇到接入问题直接查接入文档最靠谱https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite最后提醒一句调整完系统端口策略后把netsh int ipv4 show excludedportrange protocoltcp的输出存一份下次再遇到类似报错对照一眼就能判断是不是又撞上保留段了。