企业官网建设流程全解析

项目上下文没喂对，Codex 答非所问时，我会先去 TaoToken 的 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 创建一把 Key，再把 Codex 的 Base URL 填成 https://taotoken.net/api，然后用同一把 Key、同一个提问去对比 context.md 的粒度。真实场景往往是这样：你把三百行 OrderService 贴进对话框问“订单查询接口怎么优化”，Codex 却回了一堆 Spring 事务传播级别的解释，甚至顺手改了另一个类的日志格式。问题不在模型聪不聪明，而在它读到的上下文太脏、太杂、太像生产现场。把整个项目文件扔进去求优化，既不安全，效果也极差。TaoToken 在这里是一条可复现的 API 通道，Key 不变、提问不变，只调整上下文文件，你就能判断到底是上下文没喂对，还是通道配置有问题。这条排障路径，比反复重写 Prompt 有用得多。

1. Codex 答非所问时，先别改 Prompt，查它读到了哪些文件

1.1 把整个项目扔进对话框，Codex 会抓错重点

新手常犯的错，是把整个项目目录、压缩包或者几百行 Service 代码丢进对话框求优化。你本意是问 Repository 层某个字段怎么映射，结果 Codex 先看到的是 application.yml 里的连接串、Logback 配置和一堆无关的 Controller。注意力被摊薄之后，它只能挑最显眼的类名、注解和异常堆栈来回答。你问的是订单查询，它给你讲全局异常处理；你问的是 BigDecimal 精度，它建议你换数据库。不是模型故意跑偏，是它拿到的上下文里，订单查询只占很小一块。

这种情况在排障时特别容易误判。很多人第一反应是“Codex 不行”，于是换模型、改 Prompt、加更多解释，结果越改越乱。因为根因没动：上下文里仍然混着生产配置、内网地址和无关模块。把整个项目文件扔进去，等于带一个实习生进机房，然后把所有机器的日志都倒给他，让他找某一条线程堆栈。他反应再快，也会被噪声带跑。

更麻烦的是安全问题。生产环境的数据库密码、密钥配置、内网 IP 一旦进了对话，你就很难控制它会被存到哪里。原文里提到过，有人把包含内网 IP 的配置文件直接发给模型，结果被标记为潜在风险。这个教训放在今天仍然成立。排障的第一步不是让 Codex 更聪明，而是让它只看到该看的东西。

1.2 用一个最小复现实验区分“上下文问题”和“通道问题”

判断 Codex 答偏到底怪谁，可以做一个最小复现实验。准备两份上下文：一份是全量项目文件，一份是精简后的 context.md。Key 不变，提问不变，只替换上下文文件，然后对比两次回答。如果全量文件答偏、精简 context.md 答对，说明问题在上下文粒度；如果两份都答非所问，或者启动时就报认证错误，再去检查 Base URL 和 Key。

这个实验能成立的前提，是通道本身可复现。我一般会到 TaoToken 创建 Key，把 Codex 的model_provider指到统一入口，Base URL 填https://taotoken.net/api，末尾不要加/v1。这样同一把 Key、同一个模型 ID、同一个提问，换的只有 context.md。排障时最怕变量太多，一会儿换模型，一会儿换 Key，一会儿改 Prompt，最后根本不知道是哪一步起了作用。

复现实验的记录也要留下来。可以把两次对话的提问、context.md 内容、Codex 返回的代码片段和最终改动分别存成文件。后面如果还要排查，直接看 diff，比凭印象回忆可靠得多。Codex 生成的 SQL 只能当草稿，执行必须由你在本地数据库或测试库完成，再把报错贴回对话。不要让 Codex 直接连生产库，也不要让它替你执行 DDL。排障可以借助 AI，但生产操作必须留在人手里。

2. 拆 context.md：Controller 签名和 Repository 字段怎么留

2.1 脱敏：内网 IP、数据库密码、密钥配置一个都不留

context.md 的第一原则是脱敏。application-prod.yml 里类似jdbc:mysql://10.0.12.7:3306/order_db?user=root&password=真实密码的内容，必须替换成${DB_HOST}、${DB_USER}、${DB_PASSWORD}。内网 IP 换成db.example.internal或者10.0.0.1这种明显占位。密钥、Token、证书路径、公司内部域名，全部不要出现在 context.md 里。你不是在给模型看生产现场，而是在给它看一张结构草图。

脱敏不是走形式。很多模型服务会对疑似密钥、内网地址、生产连接串做风险标记，标记之后回答可能变保守，甚至直接拒绝。你以为模型“变笨了”，其实是它看到了不该看的东西。把敏感信息替换成本地变量占位，再用一段说明告诉 Codex“这些变量由运行环境注入，不需要你关心”，它反而更容易聚焦在接口签名和字段类型上。

还有一个细节：不要上传整个 SQL 初始化脚本。你只需要在 context.md 里写清楚表名、字段名、字段类型、关联关系。比如Order.amount: BigDecimal、Order.status: OrderStatus，比贴几百行建表语句更有效。Codex 读的是关系，不是数据。你给它越少越干净的结构信息，它越不容易在无关字段上发挥。

2.2 只保留依赖关系、类结构图和接口定义

一个能用的 context.md 通常很短。以订单查询重构为例，可以只留这些：

# context.md ## 任务 重构订单查询接口，只输出 Controller 和 Repository 相关代码。 ## Controller 签名 GET /api/orders 参数：OrderStatus status, Pageable pageable 返回：Page<OrderVO> ## Repository 字段 Order.id: Long Order.status: OrderStatus Order.amount: BigDecimal Order.customerId: Long ## 依赖关系 OrderController -> OrderService -> OrderRepository 不要修改其他模块。

这份文件只说明了任务、签名、字段和依赖关系，没有数据库密码，没有内网 IP，也没有无关的日志配置。Codex 拿到它之后，回答会围绕 Controller 和 Repository 展开，而不是跑去改全局异常处理器。你还可以在末尾加一句“如果信息不足，先提问，不要猜测不存在的字段”，这样能减少它一本正经胡说八道的概率。

Controller 签名和 Repository 字段是排障时最关键的两层信息。Controller 决定对外契约，Repository 决定数据访问边界。把这两层写清楚，Codex 就能在不泄露内网 IP 的前提下，读懂你的接口意图和字段约束。它不需要知道订单表在哪个机房，也不需要知道连接池大小。它只需要知道方法接收什么、返回什么、字段是什么类型。

3. 到 TaoToken 创建 Key，把 Codex 的 Base URL 写进 ~/.codex/config.toml

3.1 准备材料：模型 ID 去模型广场现查

打开 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 注册并创建 API Key。Key 统一用占位符YOUR_API_KEY表示，不要写进 Git，也不要贴到公开 Issue 里。模型 ID 不要抄博客里的旧名字，也不要用随意编造的日期后缀，以模型广场当时列表为准。Codex 这边需要两个关键配置：model_provider和base_url。Base URL 填https://taotoken.net/api，末尾不要加/v1。

准备材料阶段容易踩的坑是“官网地址”和“接口地址”混用。注册、创建 Key、看模型广场、看用量，走 https://taotoken.net/?utm_source=taotoken_aicg_blog_end。填进 Codex 配置文件的 Base URL，用https://taotoken.net/api。这两个地址用途不同，不要互相替换。把带 UTM 的官网地址塞进base_url，Codex 请求会失败；把接口地址当网页打开，也看不到控制台。

3.2 config.toml 的最小可用配置

Codex 的配置文件通常放在~/.codex/config.toml。下面是一份最小可用配置，模型 ID 记得换成模型广场里当前可用的那一个：

# ~/.codex/config.toml model = "YOUR_MODEL_ID" model_provider = "taotoken" [model_providers.taotoken] name = "TaoToken" base_url = "https://taotoken.net/api" env_key = "TAOTOKEN_API_KEY"

然后在当前 shell 里设置环境变量：

export TAOTOKEN_API_KEY=YOUR_API_KEY

Windows PowerShell 可以这样写：

$env:TAOTOKEN_API_KEY="YOUR_API_KEY"

注意不要把ANTHROPIC_BASE_URL、ANTHROPIC_AUTH_TOKEN那套变量套到 Codex 上。Codex 不看这些名字，它读的是model_provider和对应 provider 下的base_url、env_key。Key 从 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 创建，填进环境变量时用YOUR_API_KEY占位。配置文件里不要出现真实 Key。

3.3 保存后验证 provider 是否生效

保存config.toml后，重新打开一个终端，启动 Codex。可以先问一个短问题，比如让它复述当前任务，看它是否正常返回。如果仍然走旧 provider，优先检查三件事：config.toml是不是放在~/.codex/下，而不是项目根目录；model_provider的值是不是和[model_providers.taotoken]这段的名字一致；TAOTOKEN_API_KEY是否已经 export 到当前 shell。改完配置不重开终端，环境变量可能还是旧的。

如果启动后报认证失败，先不要急着换 Key。检查 Key 复制时有没有带空格，环境变量名有没有拼错。如果报地址相关错误，检查base_url是不是多写了/v1。本篇的 Codex 配置只用https://taotoken.net/api。验证通过后再回到 context.md，做同一个提问的对比实验。通道稳定了，上下文变量才有意义。

4. 同样的提问喂精简版 context.md：一次可复现的代码修改流程

4.1 从 For 循环到 Stream：先给业务意图，再让 Codex 出候选

假设你有一个老式累加方法：

public BigDecimal sumCompleted(List<Order> orders) { BigDecimal total = BigDecimal.ZERO; for (Order order : orders) { if (order.getStatus() == Status.COMPLETED) { total = total.add(order.getAmount()); } } return total; }

不要直接把整段逻辑丢过去说“优化一下”。先给业务意图：只统计已完成订单，保留 BigDecimal 精度，处理 orders 为 null 的情况，不修改 Order 实体。再让 Codex 基于 context.md 里已经写好的 Controller 签名和 Repository 字段输出候选代码。它可能会给出 Stream 写法，也可能会提醒你空指针和精度问题。你拿到候选后，在本地合并，而不是让 Codex 直接改生产文件。

这个流程的关键是分步确认。第一步确认业务意图，第二步确认字段类型，第三步确认异常分支。Codex 生成的代码如果有BigDecimal.ZERO、Optional或者stream().filter()，你都要自己过一遍。它不知道你的订单表里 amount 是否允许 null，也不知道 completed 状态是否还有别的枚举值。context.md 给了它边界，但最终判断仍然由你做。

4.2 Diff 记录本身就是排障证据

把 Codex 的建议和你的最终修改保存成 diff。左边是它给的候选，右边是你合并后的版本，中间标出你改了哪一行、为什么改。这份 diff 在排障时很有用：如果换了一版 context.md 之后，Codex 仍然在同一个地方答偏，你可以对比两次回答，判断是上下文缺了字段，还是模型对某个语法不熟。

在作品集或团队复盘里，这份 diff 也能说明问题。它展示的不是“我会用 AI”，而是“我能控制 AI 的输出质量”。面试官或者同事想看的，往往就是你如何处理 AI 给不出答案的边界。让 Codex 生成候选代码，你负责验证、合并、补测试，这条边界越清晰，排障时越不容易被它带跑。

5. 测试与验证：AI 生成的测试为什么总漏异常分支

5.1 让 Codex 补负数参数和 null 集合，但由你在本地跑覆盖率

Codex 生成的单元测试经常只覆盖主流程。它会写一个“订单状态为 COMPLETED 时正常累加”的用例，但可能漏掉 orders 为 null、amount 为负数、列表为空这些分支。你的做法应该是：先让它生成测试草稿，然后自己在本地跑mvn test或gradle test，看覆盖率报告里哪些分支没走到。发现缺口后，再把缺口描述清楚，让它补用例。

比如可以追问：“请补充 orders 为 null、amount 为负数、以及列表为空时的测试用例，仍然不要修改 Order 实体。” Codex 会输出测试代码，但执行必须由你在本地完成。如果测试需要连数据库，也只能连本地测试库或内存库，不能让 AI 直接连生产库。测试报错之后，把报错贴回对话，继续让它解释可能的原因。这个循环里，AI 负责生成和解释，你负责执行和确认。

5.2 Mock 外部依赖和参数化测试，别让测试变成硬编码

AI 经常忘记 Mock 外部依赖服务。它可能直接 new 一个 Repository，或者在测试里调用真实 HTTP 客户端。你可以在 context.md 里补一句“外部依赖用 Mockito 隔离”，再让 Codex 生成 Mock 骨架。但依赖注入链路是否完整，仍然要人工 Review。它不熟悉你项目里的自定义注解，也不一定知道某个 Bean 是怎么装配的。

对于多种输入组合，参数化测试比硬编码更灵活：

@ParameterizedTest @ValueSource(strings = {"COMPLETED", "PENDING", "CANCELLED"}) void shouldOnlySumCompleted(OrderStatus status) { // 断言逻辑 }

这样做的好处是，业务逻辑改一点，测试不用整段重写。Codex 可以帮你生成第一版参数列表，但最终要由你确认枚举值是否齐全。测试代码的维护成本很高，别让 AI 生成一堆死板的硬编码用例，最后改一处业务就要改十处测试。

6. 团队使用建议：把 Prompt 归档和 Review 标准写进 CONTRIBUTING.md

6.1 Prompt 归档与 Review 标准

即使这是个人学习项目，也可以按团队协作的标准来要求产出。把常用的 context.md 模板、提问模板放到docs/prompts/下，比如“DAO 层注释生成规范”“Controller 签名重构模板”。下次排障时，直接复用模板，而不是每次从零写 Prompt。好用的提示词存下来，就是团队知识库的雏形。

AI 生成的代码必须经过人工 Review。不能因为它是 AI 写的，就降低安全标准。可以在CONTRIBUTING.md里写清楚：涉及数据库、密钥、内网地址的上下文必须先脱敏；AI 生成的 SQL 只允许作为草稿，执行前必须人工审核；提交前在 PR 描述里标注哪些模块由 AI 辅助生成。这些规则不复杂，但能减少很多低级事故。

6.2 责任归属：谁提交谁负责

代码出了问题，谁提交谁负责，不能甩锅给 AI。这条规则听起来简单，执行起来需要文化支撑。可以在CONTRIBUTING.md里加一段：

## AI 辅助开发 - Prompt 模板存放在 docs/prompts/ - AI 生成的代码必须经过人工 Review - context.md 不得包含生产密码、内网 IP、真实密钥 - AI 生成的 SQL 只允许作为草稿，执行前必须人工审核

把这些写进项目文档，你的项目看起来会更像成熟团队的作品，而不是随便拼凑的 Demo。排障时也有依据：上下文没脱敏、没有 Review、没有测试，问题出在哪一层一目了然。Codex 是放大器，它放大效率，也放大错误。规则越清楚，放大器越可控。

7. 跑通之后去控制台对一下这次 Codex 调用

7.1 模型对话里发一条测试消息

配置保存后，先去 TaoToken 模型对话 用同一把 Key 发一条测试消息，确认模型 ID 和 Base URL 没填错。如果这里能正常返回，Codex 那边大概率也通了。如果报认证失败，回 控制台 API Keys 检查 Key 是否复制完整，环境变量名是否和env_key一致。这个核对动作能帮你把“通道问题”和“上下文问题”分开。

7.2 长期写代码看 Coding Plan

如果 Codex 要长期跑重构、生成测试、做代码解释，可以打开 Coding Plan 看套餐是否够用。这次调用是否记上账，去 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 的控制台看用量。回头再用同一把 Key、同一个提问，把全量项目和精简 context.md 各跑一遍，你就能确认 Codex 答非所问到底是不是上下文没喂对。