feat: add codex oauth login and reauth flow

Author: linhay

app.go

@@ -54,6 +54,21 @@ type DownloadFileResponse struct {
 	ContentBase64 string `json:"contentBase64"`
 }
 
+type OAuthStartResult struct {
+	URL   string `json:"url"`
+	State string `json:"state,omitempty"`
+}
+
+type OAuthStatusResult struct {
+	Status string `json:"status"`
+	Error  string `json:"error,omitempty"`
+}
+
+type CompleteCodexOAuthInput struct {
+	ExistingName  string   `json:"existingName"`
+	PreviousNames []string `json:"previousNames"`
+}
+
 type CodexQuotaWindow struct {
 	ID               string `json:"id"`
 	Label            string `json:"label"`
@@ -230,6 +245,35 @@ func (a *App) DownloadAuthFile(name string) (*DownloadFileResponse, error) {
 	}, nil
 }
 
+func (a *App) StartCodexOAuth() (*OAuthStartResult, error) {
+	result, err := a.core.StartCodexOAuth()
+	if err != nil {
+		return nil, err
+	}
+	return &OAuthStartResult{
+		URL:   result.URL,
+		State: result.State,
+	}, nil
+}
+
+func (a *App) GetOAuthStatus(state string) (*OAuthStatusResult, error) {
+	result, err := a.core.GetOAuthStatus(state)
+	if err != nil {
+		return nil, err
+	}
+	return &OAuthStatusResult{
+		Status: result.Status,
+		Error:  result.Error,
+	}, nil
+}
+
+func (a *App) FinalizeCodexOAuth(input CompleteCodexOAuthInput) error {
+	return a.core.FinalizeCodexOAuth(wailsapp.CompleteCodexOAuthInput{
+		ExistingName:  input.ExistingName,
+		PreviousNames: input.PreviousNames,
+	})
+}
+
 func (a *App) GetCodexQuota(name string) (*CodexQuotaResponse, error) {
 	result, err := a.core.GetCodexQuota(name)
 	if err != nil {

docs-linhay/dev/20260426-codex-oauth-bridge-boundary.md

@@ -0,0 +1,105 @@
+# 2026-04-26 Codex OAuth Bridge Boundary
+
+## 背景
+
+GetTokens 原先在账号池里只支持两种新增凭据方式：
+
+1. 上传 / 粘贴 auth file
+2. 新建 Codex API Key
+
+对于 `nolon/chatgpt(codex)` 账号，这意味着用户在 token 过期后只能看到失败原因，无法从当前界面直接恢复。
+
+## 本轮结论
+
+### 1. 登录不是全局会话，而是账号池内的局部动作
+
+GetTokens 是桌面端账号池，不是 Web 管理后台。
+
+因此：
+
+1. 单个 `codex` 账号过期，不等于整个应用需要“退出登录”
+2. 不引入独立全局登录页或 `ProtectedRoute` 式路由守卫
+3. 登录入口和恢复入口都收敛到账号池自身
+
+### 2. OAuth 只桥接 sidecar 现有能力，不重造协议
+
+当前最小 bridge 使用 sidecar 现有管理接口：
+
+1. `GET /v0/management/codex-auth-url?is_webui=true`
+2. `GET /v0/management/get-auth-status?state=...`
+
+前端负责：
+
+1. 调 Wails `StartCodexOAuth`
+2. 用 `BrowserOpenURL(...)` 打开系统浏览器
+3. 轮询 `GetOAuthStatus`
+
+Wails 负责：
+
+1. 把请求桥接给 sidecar
+2. 在成功后执行本地账号资产回填
+
+### 3. “重新登录”默认回填原账号资产，而不是新增重复账号
+
+仅仅发起 sidecar OAuth 会在 `auth-dir` 里新增一个新的 `codex` auth file。
+
+这对桌面账号池不够好，因为会留下：
+
+1. 一个失败的旧账号
+2. 一个新登录成功的重复账号
+
+因此本轮规则是：
+
+1. 普通 `ChatGPT 登录` 可以新增账号
+2. 从失败卡片触发 `重新登录` 时，成功后要把新 auth 内容回填到原文件名
+3. 临时生成的新 auth file 在回填后删除，不保留为重复资产
+
+### 4. 回填过程只使用现有管理接口完成
+
+当前实现不直接依赖 sidecar 内部文件路径，而是复用现有管理 API：
+
+1. 比较 OAuth 前后的 auth file 名单
+2. 找到新的 `codex` auth file
+3. 下载其内容
+4. 删除旧文件
+5. 以上传方式用旧文件名重新写回
+6. 删除临时新文件
+
+这样做的好处：
+
+1. 不额外引入 sidecar 专用“rename / replace auth file”协议
+2. 继续复用现有 normalize 上传链路
+3. 桌面端和 sidecar 的职责边界清晰
+
+## 当前边界
+
+### 前端
+
+1. Header 菜单提供 `ChatGPT 登录`
+2. 失败态 `codex auth-file` 卡片提供 `重新登录`
+3. 轮询 OAuth 状态并显示进行中 / 失败提示
+
+### Wails
+
+1. `StartCodexOAuth`
+2. `GetOAuthStatus`
+3. `FinalizeCodexOAuth`
+
+### sidecar
+
+1. 继续负责 OAuth 握手、回调接收与 token 落盘
+2. 不要求为 GetTokens 新增专门的 replace 接口
+
+## 不照搬的参考做法
+
+参考项目 `Cli-Proxy-API-Management-Center` 的以下能力值得借：
+
+1. `start -> status -> callback` 的 OAuth 三段式接口
+2. WebUI 模式下的浏览器回调转发
+
+但以下做法不适合直接照搬到 GetTokens：
+
+1. 全局 `401 -> logout -> ProtectedRoute` 重定向
+2. 单独的管理后台登录体系
+
+原因是 GetTokens 的核心对象是“账号资产”，不是“当前操作者会话”。

docs-linhay/memory/2026-04-26.md

@@ -1,5 +1,11 @@
 # 2026-04-26
 
+## Codex OAuth Bridge & Reauth
+- 账号池已补齐 `nolon/chatgpt(codex)` 最小 OAuth bridge：Wails 新增 `StartCodexOAuth`、`GetOAuthStatus`、`FinalizeCodexOAuth`，前端可从 Header 发起 `ChatGPT 登录`，也可从失败态 `codex` 卡片触发 `重新登录`。
+- 本轮明确了一条稳定边界：GetTokens 不引入 Web 管理后台式全局登录态；`codex` 账号过期只在账号池内局部修复，不做全局 `401 -> logout -> route redirect`。
+- 重新登录成功后的默认行为不是保留一新一旧两个账号，而是把新的 `codex` auth 内容回填到原文件名，再删除临时生成的新 auth file，避免账号池里残留重复资产。
+- 本轮验证通过：`go test ./internal/wailsapp ./internal/cliproxyapi`、`npm run typecheck`、`npm run test:unit`。
+
 ## Sidebar Version Label
 - 新增 `ReleaseLabel` 构建注入字段，保留 `Version` 给自动更新比较使用，避免界面发布日期格式影响更新逻辑。
 - `frontend/src/utils/version.ts` 将 Sidebar 版本展示统一格式化为 `YYYY.MM.DD.HH`。

docs-linhay/spaces/account-pool/README.md

@@ -11,23 +11,82 @@
 - 账号池开发计划归档到 `plans/`
 - 账号池截图归档到 `screenshots/`
 - 账号池多 agent 讨论归档到 `debate/`
+- `nolon/chatgpt(codex)` OAuth 登录与账号过期恢复集成
 
 ## 非目标
 - 在本次操作中直接定义账号池的详细产品方案或技术实现
 - 在仓库级 `dev/` 或其他 space 中重复维护同一份账号池范围说明
+- 为整个桌面应用引入独立的全局登录页或 Web 管理后台式会话系统
+
+## 当前需求
+
+### 目标
+
+在当前账号池中，为 `nolon/chatgpt(codex)` 账号补齐两条闭环：
+
+1. 应用内发起 OAuth 登录，替代纯手工导入 `auth.json`
+2. 当账号过期或失效时，用户可以直接从失败卡片触发重新登录，而不是只看到失败原因
+
+### 已知边界
+
+1. 当前 GetTokens 已能把 `nolon chatgptAccount` 类 auth 文件识别为 `codex`
+2. 当前导入链路已能把 legacy `codex/nolon` auth 清洗成 sidecar 真正消费的最小字段结构
+3. 当前失败原因已能从 sidecar `statusMessage` 透传到账号卡片
+4. 当前前端入口仍以“上传文件 / 粘贴 JSON / API Key 录入”为主，没有 OAuth bridge
+5. 当前桌面应用不是单一全局登录应用，不能把单个账号失效等同于整个应用登出
+
+### BDD 场景
+
+#### 场景 1：新增 ChatGPT 账号
+
+- Given sidecar 已就绪，账号池页面可操作
+- When 用户点击 `ChatGPT 登录`
+- Then 应用调用 sidecar OAuth 起始接口并打开系统浏览器
+- And 前端显示登录进行中状态
+- When sidecar OAuth 流程完成
+- Then 账号池刷新并出现新的 `codex` 账号记录
+
+#### 场景 2：过期账号重新登录
+
+- Given 账号池中已有一个 `codex` auth-file 账号，状态异常且存在失败原因
+- When 用户点击该卡片上的 `重新登录`
+- Then 应用发起新的 OAuth 流程
+- When OAuth 成功且检测到新的 `codex` auth 文件
+- Then 应用将新 auth 内容回填到原账号资产
+- And 刷新后原账号 ID 仍以原文件名存在
+- And 临时生成的新 auth 文件不会作为重复账号残留
+
+#### 场景 3：OAuth 失败或超时
+
+- Given 用户已发起 `ChatGPT 登录` 或 `重新登录`
+- When sidecar 返回 `error` 状态或超时
+- Then 前端保留错误提示
+- And 不修改现有账号内容
+- And 用户可以再次触发登录
+
+#### 场景 4：账号失效后的可恢复性
+
+- Given `codex` auth-file 账号状态不是 `ACTIVE / CONFIGURED / DISABLED / LOCAL`
+- When 用户查看账号卡片
+- Then 卡片除失败原因外，还应暴露 `重新登录` 动作
+- And 该动作只作用于当前账号，不影响其他账号和应用整体路由
 
 ## 验收标准
 - 已存在 `docs-linhay/spaces/account-pool/README.md`
 - 已存在 `docs-linhay/spaces/account-pool/plans/`
 - 已存在 `docs-linhay/spaces/account-pool/screenshots/`
 - 已存在 `docs-linhay/spaces/account-pool/debate/`
 - 后续账号池相关文档默认优先落到该 space
+- 已定义 `codex` OAuth 登录与过期恢复的验收场景
+- 实现后至少覆盖后端 bridge 测试与前端账号动作测试
+- 过期 `codex` 账号不再只是显示失败原因，而是可直接触发重新登录
+- 成功重登后默认回填原账号资产，不新增重复账号
 
 ## 相关链接
 - [docs-linhay 文档入口](/Users/linhey/Desktop/linhay-open-sources/GetTokens/docs-linhay/README.md)
 - [spaces 结构治理](/Users/linhey/Desktop/linhay-open-sources/GetTokens/docs-linhay/dev/20260424-spaces-structure-governance.md)
 
 ## 当前状态
-- 状态：ready
+- 状态：in-progress
 - 最近更新：2026-04-26
-- 最近变更：`AccountDetailModal` 的 `RAW_SOURCE_DATA` 区块已支持点击 / 键盘触发复制，便于直接提取 auth 原文做排障和对比。
+- 最近变更：启动 `nolon/chatgpt(codex)` OAuth 登录与过期恢复集成，先收敛为账号池内局部动作，不引入全局登录页。

docs-linhay/spaces/account-pool/plans/20260426-codex-oauth-regression-plan-v01.md

@@ -0,0 +1,90 @@
+# 20260426 Codex OAuth Regression Plan V01
+
+## 目标
+
+为账号池内的 `ChatGPT 登录 / codex 重新登录` 闭环提供一份可重复执行的回归方案，降低后续修改账号池、Wails bridge 或 sidecar OAuth 时的回归风险。
+
+## 适用范围
+
+1. `StartCodexOAuth`
+2. `GetOAuthStatus`
+3. `FinalizeCodexOAuth`
+4. 账号卡片失败态 `重新登录`
+5. 新 auth 回填原文件名
+
+## 自动化回归
+
+### Go
+
+运行：
+
+```bash
+go test ./internal/wailsapp ./internal/cliproxyapi
+```
+
+关注点：
+
+1. OAuth 起始接口是否仍正确桥接到 sidecar
+2. 回填逻辑是否仍保留原文件名
+3. 多个新 `codex` auth file 同时出现时，是否仍能拒绝歧义结果
+
+### Frontend
+
+运行：
+
+```bash
+cd frontend
+npm run test:unit
+npm run typecheck
+npm run build
+```
+
+关注点：
+
+1. 失败态 `codex auth-file` 是否仍被识别为可重登
+2. 登录 / 重登横幅文案是否仍按场景区分
+3. 新增入口和卡片动作是否未破坏现有构建
+
+## 手动回归
+
+### 场景 1：新增 ChatGPT 账号
+
+1. 打开账号池
+2. 点击 `ChatGPT 登录`
+3. 确认浏览器被拉起
+4. 完成授权
+5. 返回应用，确认出现“登录进行中”横幅
+6. 同步完成后确认出现“登录成功”横幅
+7. 确认账号池新增一个 `codex` auth-file 账号
+
+### 场景 2：失败账号重新登录
+
+1. 准备一个失败态 `codex` auth-file 账号
+2. 确认卡片显示失败原因和 `重新登录`
+3. 点击 `重新登录`
+4. 完成浏览器授权
+5. 返回应用并等待同步
+6. 确认原文件名对应的账号恢复，而不是出现一新一旧两个重复账号
+
+### 场景 3：登录失败
+
+1. 发起 `ChatGPT 登录`
+2. 在浏览器中取消授权或让流程超时
+3. 返回应用
+4. 确认出现错误横幅
+5. 确认账号池未新增错误资产
+6. 确认可再次点击登录
+
+### 场景 4：异常歧义保护
+
+1. 人为制造多个新的 `codex` auth file
+2. 触发失败账号 `重新登录`
+3. 确认应用不静默覆盖错误账号
+4. 确认错误被显式提示，而不是产生不可追踪的数据错配
+
+## 通过标准
+
+1. 自动化测试全部通过
+2. 新增登录和重登两条路径都能完成
+3. 回填后不残留重复账号
+4. 失败时能明确提示且不破坏原账号

frontend/package.json

@@ -8,7 +8,7 @@
     "build": "vite build",
     "preview": "vite preview",
     "typecheck": "tsc --noEmit",
-    "test:unit": "node --test src/utils/version.test.mjs src/features/accounts/tests/accountConfig.test.mjs src/features/accounts/tests/accountSelectors.test.mjs src/features/accounts/tests/accountSelection.test.mjs src/features/accounts/tests/accountTransfer.test.mjs src/features/accounts/tests/accountPresentation.test.mjs src/features/accounts/tests/accountCardInteractions.test.mjs src/components/biz/accountDetailClipboard.test.mjs"
+    "test:unit": "node --test src/utils/version.test.mjs src/features/accounts/tests/accountConfig.test.mjs src/features/accounts/tests/accountSelectors.test.mjs src/features/accounts/tests/accountSelection.test.mjs src/features/accounts/tests/accountTransfer.test.mjs src/features/accounts/tests/accountPresentation.test.mjs src/features/accounts/tests/accountOAuth.test.mjs src/features/accounts/tests/accountCardInteractions.test.mjs src/components/biz/accountDetailClipboard.test.mjs"
   },
   "dependencies": {
     "react": "^18.3.1",

frontend/package.json.md5

@@ -1 +1 @@
-27a1890f55e32fa001a804da1bb7ebae
+8b028b4ca170b27b487153842f114243