被禁用的 Codex 凭证把 v8.0.51 顶到 190% CPU：access token 没过期，刷新循环就一直空转
v8.0.51 上一条被禁用的 Codex 凭证能让中转进程空转烧到 190% CPU，本文给出三分钟确认方法、四步处置与两处顺手能收的口子。
v8.0.51 上，一条被标成
disabled 的 Codex 凭证能让整个中转进程在空闲时烧到 150–190% CPU。触发条件是三个同时成立：refresh token 已被上游终局拒绝、access token 还没过期、而它已经进入 96 小时的提前刷新窗口1。报障人是 darwin/arm64 部署。他把那一条 auth 文件移出 auth-dir、不重启进程，CPU 从 ~190% 落回 ~20%1。
影响面写清楚：只有
disabled 的 Codex 凭证中招，active 的不会。代价是 CPU，外加最长 96 小时——刷新循环会一直自转，直到 access token 真的过期。这张单开在北京 11-02 04:37，零评论，没有对应补丁。本刊在 v8.0.51 整包里逐处核过它给的链路，行号与判断都对得上，只补了一处它没说的：这道循环恰好从四小时前那次修复的旁边绕了过去。
五分钟确认是不是这一条
三条判据，任一条成立就值得往下查。
打开 debug 日志，看是否反复打印
auto-refresh scheduler due auths: 1。报障人就是靠这一行在线上认出来的1。读一次
GET /v0/management/auth-files，隔几秒再读一次。中招那条的 updated_at 每次都在变，其他条目不动。把怀疑的那份 auth 文件移出 auth-dir，不重启。CPU 立刻回落就是它。
自转是怎么发生的
五步，全在
sdk/cliproxy/auth 里。第一步，挂着 5 分钟。 刷新失败后先判「这条凭证是不是被停用」，命中就走
else if isDisabled 分支，把下次刷新时间写成 now + refreshFailureBackoff，而 refreshFailureBackoff 是 5 分钟2。
else if isDisabled 写 NextRefreshAfter = now.Add(refreshFailureBackoff)，并把 shouldReschedule 置真2第三步，刷新请求当场返回。
refreshAuthForRequestAtEpoch 认到「refresh token 没换过、且已被终局拒绝」，又看到 access token 还有效，直接返回一句 refresh token requires sign-in，一个字段都不改4。第五步，判定「现在就该刷」。 下次到期时间由
nextRefreshCheckAt 算。NextRefreshAfter 是零，于是走到提前量分支：dueAt = expiry - lead，一旦不晚于现在，直接返回 now6。
dueAt 就落在过去，返回 now, true7于是又派一次任务，又走第三步，又清零。第二次起不再等那 5 分钟：占位被清成零值，调度器算出来的就是「现在」。
报障人的复现用例量到的是 500 毫秒里
Generation 涨了 83940 次，同一时间里上游刷新调用只有 1 次1。它不花上游额度，只烧 CPU。顺带说一句仓库里本来就有的那道闸：
refreshIneffectiveBackoff（30 秒）只在刷新返回成功、凭证却没变化时才用8。这条走的是 error 返回，所以它管不到。为什么只有 disabled 的那条会中招
同一个函数里，另外两支都不会自转。
terminalRefresh 那一支——access token 还有效、refresh grant 被终局拒绝，但凭证是 active 的——把 NextRefreshAfter 设成 access token 的到期时刻，然后挂住9。
current.NextRefreshAfter = exp9isDisabled && invalidGrant 那一支更干脆，直接 unschedule，连下次时间都不留10。剩下就是这一条：disabled、终局拒绝、而报错文本里没有
invalid_grant 这几个字，落进 1446 行的 5 分钟分支。它既没被挂到过期时刻，也没被 unschedule。两道现成的护栏也都按字面判，都放它过去。
另一道是 v8.0.51 新加的，专门拦「刷不了的凭证」，按「有没有 refresh token」判可用。
codexAutoRefreshUnavailable 只判 refresh_token 是否存在，存在就返回 false（即视为可刷）；被拒绝的 refresh token 仍然是「存在」12这道闸是四小时前 #7143 的修法。那一单讲的是「完全没有 refresh token 的 Codex 凭证被反复刷新」，v8.0.50 里还没有这道函数，v8.0.51 有13。
所以两条单讲的是同一台调度器的两种漏法。#7143 那条被闸住了，这条从「有 refresh token，只是已经废了」这个缺口过去。
今晚怎么处置
四条，按代价从低到高。
先定位。把 auth-dir 里的文件逐个移出、观察 CPU，别一次性全动。报障人用这一招把范围缩到单条1。
不需要这条凭证的，直接移走。注意别用「禁用」代替——
Disabled: true 正是这条循环的触发条件。还需要它的，重新授权一次。refresh token 换掉之后，
authHasUnchangedRejectedRefreshToken 会返回 false，第三步那条提前返回不再成立，循环自然停4。重启无效。启动时的刷新就会再失败一次、再写下被拒记录，5 分钟后原样复发。
另一件顺手能做的：把凭证文件权限收紧
同一个窗口里另有一张补丁，讲的是 auth 文件权限，成本一分钟。
v8.0.51 保存凭证时，如果文件已存在，走的是
os.OpenFile(path, os.O_WRONLY|os.O_TRUNC, 0o600)16。第三个参数只在创建文件时生效。一份曾经被设成 0644 的凭证，刷新后仍然是 0644，同机其他用户可以读走里面的 token。
JSON 没变化的情况更彻底：第 137–138 行直接
break，文件连打开都没有，权限自然也不会被碰。
O_TRUNC 那句（0600 不生效），内容没变则直接 break；只有新建文件那条（第 152 行）才真的写出 060016今晚做一条就能收口：
chmod 600 auth-dir/*.json。新建的文件本来就是 0600，需要改的只有历史遗留。补丁 #7182 的改法是打开不截断、先给这个描述符设 0600，JSON 变了才截断重写；设权限失败在截断之前返回。2 文件 +92 −6，mergeable clean，还没合并17。
在途：一张老 PR 换了形态
#6680 在窗口里动过，推到 20:30，但它不是新能力。
这张单 10-16 就开了，现在 5 笔提交还全是 10-19 的。作者把分支重推到 dev 的新基线，并删掉了已被 #6738 覆盖的部分，只剩 Claude 格式请求打到 Meta 的三处缺口18。
跑 Meta 的知道它开着就行，今晚没有要跟着动的配置。
其余三仓与上游
References
- 1issue #7183
github.com
- 2
- 3conductor_refresh.go v8.0.51 第 355–383 行
github.com
- 4
- 5conductor_refresh.go v8.0.51 第 396–409 行
github.com
- 6auto_refresh_loop.go v8.0.51 第 488–498 行
github.com
- 7types.go v8.0.51 第 1054–1057 行
github.com
- 8conductor_refresh.go v8.0.51 第 25–41 行
github.com
- 9
- 10
- 11
- 12conductor_refresh.go v8.0.51 第 117–132 行
github.com
- 13issue #7143
github.com
- 14compare v8.0.50...v8.0.51
github.com
- 15开放补丁列表
github.com
- 16filestore.go v8.0.51 第 136–157 行
github.com
- 17PR #7182
github.com
- 18PR #6680
github.com
- 19sub2api v0.2.19
github.com
- 20codex-proxy v2.1.21
github.com
- 21codex2api v3.1.2
github.com
- 22OpenAI 状态页 summary
status.openai.com
- 23Anthropic 状态页 summary
status.anthropic.com
- 24Google Cloud 事故列表
status.cloud.google.com
- 25codex-reset
codex-reset.com
- 26codex-reset api/feed
codex-reset.com
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.