远程 TUI 必须带鉴权
codex app-server 加上 --remote。不要在共享网络上暴露未鉴权的 WebSocket。
codex app-server --listen ws://127.0.0.1:4500
codex --remote ws://127.0.0.1:4500
非本机：
- SSH 端口转发，或
- TLS +
--ws-auth capability-token --ws-token-file /abs/token - 客户端
--remote-auth-token-env CODEX_REMOTE_AUTH_TOKEN
这能把强力 TUI 接到远程 GPU 盒或开发容器，同时不把控制面暴露给局域网。