企业官网建设流程全解析

deepseek 本地部署 到 FastAPI 这一层，最容易被误解的报错之一就是 /secure-generate 返回 401 Invalid API Key。服务用 uvicorn api:app --reload --port 8000 明明起得来，示例1 的生成逻辑也还在，curl 一调却卡在门口。先别急着看显存和权重，打开 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 注册并创建一把 Key，再把 Codex 的 Base URL 填成 https://taotoken.net/api，让 Codex 走 TaoToken 通道读 api.py 里的 APIKeyHeader 校验段，才是更省时间的排障入口。这篇文章就按这个现场走：401 响应体、请求头、API_KEYS 环境变量、Depends 依赖链，一条一条对照，不把问题推给 deepseek 权重。

1. uvicorn 起来后 /secure-generate 返回 401 Invalid API Key 先别怪 deepseek

1.1 401 现场：服务能启动，不代表请求能进门

本地部署 deepseek 或对接生成接口时，很多人会把“服务启动成功”和“接口调用成功”画等号。uvicorn 监听 8000 端口没有抛异常，浏览器打开 /docs 也能看到 /secure-generate，于是顺手用 curl 发请求，结果响应体只有一行：

{"detail":"Invalid API Key"}

这时候要看清楚，401 是 HTTP 状态码，含义是请求没有通过鉴权。它发生在 FastAPI 路由进入函数之前，或者发生在依赖函数内部主动抛 HTTPException 的时候。deepseek 权重有没有加载完、显存够不够、量化格式对不对，这些问题会影响生成质量或推理速度，但不会让 FastAPI 在门口返回“Invalid API Key”。换句话说，这个 401 更像是门禁系统没放行，而不是屋里的人不会干活。

还有一种常见误判：看到 401 就以为模型服务挂了。其实你可以在代码里暂时打印请求路径，会发现请求可能已经到达了 FastAPI，只是被 APIKeyHeader 依赖拦下。排障顺序应该是先确认请求头、再确认环境变量、再确认依赖是否挂载，最后才看生成逻辑有没有被复用。顺序反了，就会在显存和权重上绕很久。

1.2 为什么显存和权重通常不是第一嫌疑人

deepseek 本地部署常见问题确实包括显存不足、加载慢、tokenizer 路径不对，但这些通常表现为进程崩溃、 CUDA out of memory、加载卡住或者生成结果异常。而 /secure-generate 返回 401 Invalid API Key，说明请求在鉴权层就被拒绝了，生成函数可能根本没被执行。你可以做个简单验证：在 /secure-generate 函数第一行加一句 print 或日志，再发一次不带 X-API-Key 的请求。如果日志没有输出，就证明请求没进业务函数，排查方向应该锁定在 Depends 和 APIKeyHeader 上。

另外，很多人把 API Key 和模型权重密钥混在一起理解。模型权重是本地文件，通常不需要 HTTP 请求头；而 FastAPI 的 APIKeyHeader 校验的是请求头里的字符串。两者不在一个层面。TaoToken 在这里的角色也不是模型权重提供方，而是给 Codex 这类编程工具提供统一 API 通道和 Key，让 Codex 能读取你的 api.py、理解 APIKeyHeader 的校验逻辑，帮你对照请求链路。它不参与 FastAPI 的鉴权逻辑，也不应该被写进 /secure-generate 的校验代码里。

2. 让 Codex 对照 APIKeyHeader 查之前，先把 TaoToken 通道配好

2.1 创建 Key：打开官网完成注册与密钥

Codex 要帮你读本地文件、解释 FastAPI 依赖注入、对比 curl 和 401 响应体，首先得让它能正常调用模型。打开 TaoToken 完成注册，然后在控制台创建一把 API Key。这个 Key 后面会作为 Codex 访问模型通道的凭证，占位符统一写成 YOUR_API_KEY。不要把它和 FastAPI 里的 API_KEYS 混为一谈：前者是 Codex 走 TaoToken 通道用的，后者是你本地 /secure-generate 用来校验调用方请求头的。

创建 Key 的时候顺手看一眼模型广场，记下你要用的模型 ID。这个 ID 不要凭记忆写，也不要用网上抄来的日期后缀。模型列表会变化，以你打开 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 时模型广场显示为准。Codex 的 config.toml 里会填这个模型 ID，填错了通常不是 401，而是找不到模型或请求失败，所以在这一步先确认好。

2.2 ~/.codex/config.toml 里填 Base URL 与模型 ID

Codex 的配置文件在用户目录下的 ~/.codex/config.toml。下面是一份可复制的写法，重点是 base_url 填 https://taotoken.net/api，末尾不要加 /v1，也不要带 UTM 参数。model 字段写你在模型广场看到的 ID，这里用 YOUR_MODEL_ID 占位。

# ~/.codex/config.toml model = "YOUR_MODEL_ID" model_provider = "taotoken" [model_providers.taotoken] name = "TaoToken" base_url = "https://taotoken.net/api" env_key = "TAOTOKEN_API_KEY"

保存后，在终端里导出环境变量，让 Codex 能找到 Key：

export TAOTOKEN_API_KEY=YOUR_API_KEY

如果你用的是 Windows PowerShell，可以换成$env:TAOTOKEN_API_KEY="YOUR_API_KEY"。关键是 Key 从 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 创建，Base URL 只写 https://taotoken.net/api。不要在 base_url 后面拼接 /v1，也不要加任何查询参数，否则 Codex 请求路径可能变成 /api/v1/... 或带上一串无关参数，反而给排障增加噪音。

2.3 把 401 响应体、curl、api.py 片段一起交给 Codex

Codex 通道配好之后，不要只丢一句“我的接口 401 了”。要给足现场信息，让 Codex 能对照 APIKeyHeader 的几行代码。建议准备三样东西：第一，完整的 401 响应体，包括状态码和 JSON 内容；第二，你实际执行的 curl 命令，尤其要保留请求头部分；第三，api.py 里与鉴权相关的片段，包括 APIKeyHeader 定义、API_KEYS 加载函数、verify_api_key 依赖、以及 /secure-generate 路由装饰器。

把这些内容贴给 Codex，让它按“请求头是否缺失、环境变量是否对齐、Depends 是否挂上”三个方向逐条检查。Codex 不能直接连你的生产库或本地服务去执行诊断，它只能读代码、解释逻辑、生成对照命令。诊断 SQL 或 curl 验证需要你在本地终端执行，再把输出贴回对话。这样既安全，也能让 Codex 基于真实报错做判断，而不是凭空猜。

3. 逐行对照 api.py：APIKeyHeader、API_KEYS 与 /secure-generate 的依赖链

3.1 APIKeyHeader 的 name 必须和请求头完全对齐

FastAPI 的 APIKeyHeader 默认会根据 name 去请求头里找对应字段。下面这段代码把请求头字段定为 X-API-Key，并使用 auto_error=False，方便自己控制 401 响应体：

# api.py import os from fastapi import FastAPI, Depends, HTTPException, Security from fastapi.security import APIKeyHeader from pydantic import BaseModel API_KEY_NAME = "X-API-Key" api_key_header = APIKeyHeader(name=API_KEY_NAME, auto_error=False) def load_api_keys() -> set[str]: raw = os.getenv("API_KEYS", "") return {item.strip() for item in raw.split(",") if item.strip()} async def verify_api_key(api_key: str | None = Security(api_key_header)) -> str: valid_keys = load_api_keys() if not api_key: raise HTTPException(status_code=401, detail="Invalid API Key") if api_key not in valid_keys: raise HTTPException(status_code=401, detail="Invalid API Key") return api_key app = FastAPI() class GenerateRequest(BaseModel): prompt: str max_tokens: int = 128 @app.post("/secure-generate", dependencies=[Depends(verify_api_key)]) async def secure_generate(req: GenerateRequest): # 这里复用示例1的生成逻辑 return {"text": f"generated: {req.prompt}", "tokens": req.max_tokens}

第一处要检查的是 APIKeyHeader 的 name 是不是 X-API-Key。curl 里写-H "X-API-Key: dev-key-a"时，HTTP 头名称大小写不敏感，但名称本身必须一致。如果你代码里写的是X-APIKEY，curl 里却传 X-API-Key，APIKeyHeader 就找不到值，auto_error=False 时 api_key 为 None，于是走到if not api_key抛 401。

3.2 API_KEYS 集合的加载时机与分隔符

第二处要检查的是 API_KEYS 环境变量。上面 load_api_keys 用逗号分隔，并去掉了空白项。如果你的启动方式是在终端里export API_KEYS="dev-key-a,dev-key-b"，然后同一终端启动 uvicorn，通常没问题。但如果你在 A 终端导出，在 B 终端执行 curl，环境变量只存在于 A 终端的进程里，不会影响 B 终端发出去的请求头。更常见的是在 .env 文件里写了 API_KEYS，但代码没有用 python-dotenv 加载，os.getenv 拿到空字符串，valid_keys 就是空集合，任何 Key 都会被判为不匹配。

分隔符也要对齐。如果环境变量写的是dev-key-a;dev-key-b，而代码按逗号分割，第一把 Key 会变成dev-key-a;dev-key-b，curl 里传dev-key-a自然 401。另外，如果 Key 前后有空格，item.strip()能处理；如果你没有 strip，dev-key-a和dev-key-a就不相等。排障时可以把valid_keys的数量和当前请求头里的 Key 值打印出来，但注意不要打印完整 Key，可以只打印长度和前后几位。

3.3 /secure-generate 路由有没有挂上 Depends

第三处要检查的是 /secure-generate 的依赖声明。有人把 verify_api_key 写好了，但路由写成@app.post("/secure-generate")，没有加dependencies=[Depends(verify_api_key)]，也没有在函数参数里写api_key: str = Depends(verify_api_key)。这种情况下请求会直接进入生成函数，不会返回 401。反过来说，如果你期望它拦截未带 Key 的请求，却一直能成功，那可能是依赖没挂上。

还有一种情况是依赖挂在了错误的位置。例如你有一个全局中间件或父路由依赖，但 /secure-generate 是另一个 router 注册的，依赖没有继承过去。或者你在函数参数里写了api_key: str = Depends(verify_api_key)，但 verify_api_key 内部又依赖Security(api_key_header)，两者混用时要注意签名。最稳妥的方式是像上面示例一样，用dependencies=[Depends(verify_api_key)]挂在路由装饰器上，并在 verify_api_key 内部用 Security 取头。这样逻辑清晰，也方便 Codex 对照。

3.4 401 响应体是 FastAPI 默认还是自定义

第四处要看 401 响应体的来源。上面代码主动抛了HTTPException(status_code=401, detail="Invalid API Key")，所以返回{"detail":"Invalid API Key"}。如果你看到的是其他格式，比如{"message":"..."}，那可能是自定义异常处理器或中间件返回的，排查位置就不同。如果 APIKeyHeader 使用 auto_error=True，FastAPI 在某些版本下可能直接返回 403 或 401，响应体也不一定是你写的那句。先确认 401 是谁抛的，再决定改哪里。

把这几行和 401 响应体一起贴给 Codex，让它逐条回答：请求头字段名是否一致、API_KEYS 是否在同一个进程环境里、Depends 是否挂上、异常是默认还是自定义。Codex 会给出对照结论，但最终修改和运行要你自己在本地完成。TaoToken 只负责让 Codex 有模型通道可用，不介入 FastAPI 内部鉴权。

4. 用 curl 复现并修掉 401：三条排查线

4.1 请求头缺失：加上 X-API-Key 再试

最直接的复现方式是在一个终端启动服务：

export API_KEYS="dev-key-a,dev-key-b" uvicorn api:app --reload --port 8000

然后在另一个终端发一个不带 Key 的请求：

curl -i -X POST http://127.0.0.1:8000/secure-generate \ -H "Content-Type: application/json" \ -d '{"prompt":"写一句排障笔记","max_tokens":32}'

如果返回 401，再补上请求头：

curl -i -X POST http://127.0.0.1:8000/secure-generate \ -H "Content-Type: application/json" \ -H "X-API-Key: dev-key-a" \ -d '{"prompt":"写一句排障笔记","max_tokens":32}'

如果第一次 401、第二次 200，说明鉴权逻辑本身在工作，问题只是请求方没带对头。这也是最常见的“误报”：调用方以为服务坏了，其实是 curl 命令抄漏了-H "X-API-Key: ..."。

4.2 环境变量没对齐：启动 uvicorn 的终端和执行 curl 的终端

如果补上请求头仍然 401，就要看 API_KEYS 是否真的进了 uvicorn 进程。可以在启动服务前执行echo $API_KEYS，确认当前终端能看到值。如果为空，说明环境变量没导出，或者你写在了别的 shell 配置文件里但没有重新加载。使用 .env 的话，代码里要显式加载，例如用 python-dotenv 的load_dotenv()，否则 os.getenv 读不到。

还要注意 uvicorn 的--reload会启动子进程。大多数情况下环境变量会继承，但如果你在启动后修改了环境变量，没有重启服务，子进程里的值不会自动更新。改完 API_KEYS 后，按 Ctrl+C 停掉 uvicorn，再重新执行启动命令。这个动作很小，但能排除“改了不生效”的假象。

4.3 Depends 没挂上或挂错位置

如果无论带不带 Key 都不返回 401，或者带错 Key 也能成功，就要看 Depends。检查 /secure-generate 的装饰器是否写了dependencies=[Depends(verify_api_key)]。如果用了 APIRouter，确认依赖挂在 router 或具体路由上，而不是挂在另一个 router 上。如果 verify_api_key 是通过函数参数注入的，确认参数名和类型正确，避免把api_key: str = Security(api_key_header)直接写在路由函数里却忘了校验。

还要注意 /secure-generate 是否复用了示例1 的生成逻辑，但在复制路由时把鉴权依赖删掉了。复用时最好只复用生成函数，鉴权依赖单独挂在新的安全路由上。这样代码结构更清楚，也方便后续把安全生成接口和非安全接口分开管理。

4.4 修改后的可运行代码与验证命令

把上面的 api.py 保存后，用以下命令重新启动：

export API_KEYS="dev-key-a,dev-key-b" uvicorn api:app --reload --port 8000

正确请求应返回类似：

{"text":"generated: 写一句排障笔记","tokens":32}

错误请求返回：

{"detail":"Invalid API Key"}

如果你改了返回结构，以你代码里的实际返回为准。验证时建议用curl -i保留响应头，这样能看到 HTTP/1.1 401 Unauthorized 和 JSON 响应体，贴给 Codex 时信息更完整。不要在没确认请求头的情况下就去调 deepseek 权重加载参数，那会把问题从鉴权层带到推理层，排查成本更高。

5. 修完之后的本地回归与 TaoToken 通道验证

5.1 本地 FastAPI 回归：正确与错误 curl 对照

修完 APIKeyHeader 和 API_KEYS 后，做一次最小回归：不带 X-API-Key 应该 401，带错误 Key 应该 401，带正确 Key 应该 200 并返回生成结果。三条命令依次执行，把输出保存下来。如果第二条带了错误 Key 却返回 200，说明 verify_api_key 里的集合判断被绕过，可能 valid_keys 为空时逻辑写成了“为空则放行”。如果第三条带正确 Key 仍 401，再检查环境变量是否在同一终端、Key 是否有前后空格、请求头名称是否写错。

回归完成后，可以把三条 curl 和对应响应贴给 Codex，让它帮你确认 401 和 200 的边界是否符合预期。Codex 只能基于你贴的内容分析，不能直接连接你的本地 8000 端口执行请求。所以你自己执行、自己贴结果，这个分工要固定下来。

5.2 在 TaoToken 模型对话里确认 Codex 的 Key 和模型 ID

本地 FastAPI 的 401 修好之后，回到 Codex 通道本身做一次验证。打开 TaoToken 模型对话 用同一把 YOUR_API_KEY 发一条测试消息，确认模型 ID 和 Base URL 没填错。模型对话能通，说明 Key 有效、模型 ID 在模型广场列表里、通道可用；Codex 的 config.toml 如果仍然报错，就优先检查 base_url 是否误写成带 /v1 或带查询参数的地址。

这一步和 FastAPI 的 401 是两个独立问题。FastAPI 的 401 是本地 APIKeyHeader 在管，TaoToken 的 Key 是 Codex 访问模型通道在管。把两个 Key 分清，排障时就不会互相甩锅。需要看 Key 状态或重新创建，可以回到 控制台 API Keys 处理。

5.3 下一步：长期写代码看 Coding Plan，Key 在控制台管理

如果只是偶尔让 Codex 对照 api.py 查 401，用按量或临时 Key 就够了。如果准备长期把 Codex 接到本地 deepseek 项目里写 FastAPI、改鉴权、补 curl 回归，建议打开 Coding Plan 看看套餐是否匹配你的使用节奏。模型 ID 和 Key 都以 https://taotoken.net/?utm_source=taotoken_aicg_blog_end 当时显示为准，不要写死网上抄来的 ID。

本地 401 修掉之后，记得回控制台对一下这次 Codex 调用有没有记上账，再把 api.py 里的 APIKeyHeader 校验段提交到版本库。下次再遇到 /secure-generate 返回 401，先看请求头、再看 API_KEYS、再看 Depends，最后才看 deepseek 权重和显存，顺序稳了，排障时间会短很多。