CLIProxyAPI+OpenCode：Windows 端认证失败排查与 config.toml 配置骨架

1. Windows 下 OpenCode 认证失败到底卡在哪如果你在 Windows 上装好 OpenCode配了 CLIProxyAPI结果一执行opencode run就报Incorrect API key provided或者401 Unauthorized那基本可以确定请求根本没走到你本机的 CLIProxyAPI而是被 OpenCode 发到了官方 OpenAI 端点。这是 Windows 端最常见的一类认证失败不是密钥错了是链路错了。OpenCode 本身是一个终端里的 coding agent它默认认的是 OpenAI 官方 provider。你在/connect里填一个cliproxyapi-xxxx这样的本地密钥OpenCode 会老老实实把它当成 OpenAI 官方 Key然后发到api.openai.com。官方当然不认这个 key于是回你一个Incorrect API key provided: cliproxy...。报错信息里带着cliproxy前缀就是最直接的证据。正确的链路应该是OpenCode 仍然用内置的openaiprovider但把baseURL指向本机 CLIProxyAPI 的http://127.0.0.1:8317/v1apiKey换成 CLIProxyAPI 的本地访问密钥。这样 OpenCode 以为自己在跟 OpenAI 说话实际请求落到你本机的代理服务上由 CLIProxyAPI 拿着 OAuth 凭据去请求上游模型。这篇就围绕这个场景把 Windows 原生环境下的config.toml/opencode.json配置骨架、逐步验证动作、以及几类高频报错的排查路径讲清楚。适合已经在 Windows 上跑 OpenCode、但认证一直过不去的人。如果你还没拿到统一 Key可以先去 TaoToken 的 API Keys 页面生成一个后面接入示例会用到。2. 前置准备TaoToken 统一 Key 与 CLIProxyAPI 环境在动手改配置之前先把两样东西准备好一个是可用的 API Key 通道一个是本机的 CLIProxyAPI 服务。TaoToken 在这里的角色是提供一个统一的 Key 和 API 通道。你可以把它理解成一个入口地址 一把钥匙OpenCode 不需要关心上游到底是哪个模型厂商只要把baseURL指向 TaoToken 的 API 地址、把apiKey填成 TaoToken 生成的 Key请求就能被正确路由。对于本地 coding agent 来说这比每个 provider 单独配一套要省事得多。先去 TaoToken 控制台生成 Key打开 API Keys 页面https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite新建一个 Key复制保存后面配置里要用接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite遇到参数不确定可以对照CLIProxyAPI 这边Windows 原生环境需要准备Windows 10/11PowerShell 或 Windows TerminalNode.js / npm装 OpenCode 用CLIProxyAPI 的 Windows 可执行文件一个可正常登录的账号用于 OAuthOpenCode 安装npm install -g opencode-ai opencode --versionCLIProxyAPI 从项目 Release 下载 Windows 版本放到固定目录比如C:\Users\你的用户名\AppData\Local\Programs\CLIProxyAPI\cli-proxy-api.exe想直接在命令行敲cli-proxy-api就把这个目录加进 PATH或者写一个cli-proxy-api.cmd包装脚本。这一步不做也行后面用全路径调用即可。3. 可复制的 config.toml 与 opencode.json 配置骨架这一节是全文的核心配置写对了认证失败基本就解决了一大半。3.1 生成 CLIProxyAPI 本地访问密钥先建配置目录生成一个本地密钥$dir $env:USERPROFILE\.cli-proxy-api New-Item -ItemType Directory -Force $dir | Out-Null $key cliproxyapi- [guid]::NewGuid().ToString(N) Set-Content -Path $dir\opencode-api-key.txt -Value $key -NoNewline $key输出的cliproxyapi-...是给 OpenCode 访问本机 CLIProxyAPI 用的本地密钥不是官方 API Key别提交到 Git。3.2 CLIProxyAPI 配置骨架在C:\Users\你的用户名\.cli-proxy-api\config.yaml写入host: 127.0.0.1 port: 8317 auth-dir: C:/Users/你的用户名/.cli-proxy-api api-keys: - cliproxyapi-替换成你刚才生成的本地密钥 request-retry: 3 quota-exceeded: switch-project: true switch-preview-model: true streaming: keepalive-seconds: 15 bootstrap-retries: 1几个关键点host用127.0.0.1只监听本机更安全port8317 是常用端口api-keys是客户端访问 CLIProxyAPI 的本地鉴权auth-dir保存 OAuth 凭据。Windows 路径在 YAML 里建议用/避免反斜杠转义问题。3.3 OpenCode 配置骨架OpenCode 全局配置目录通常是C:\Users\你的用户名\.config\opencode\编辑opencode.json{ $schema: https://opencode.ai/config.json, model: openai/gpt-5.4, small_model: openai/gpt-5.4-mini, provider: { openai: { options: { baseURL: http://127.0.0.1:8317/v1, apiKey: {file:../../.cli-proxy-api/opencode-api-key.txt} } } } }这里三个点必须守住仍然用openai/gpt-5.4不要新建自定义 providerbaseURL指向本机 CLIProxyAPIapiKey从文件读取避免明文写进配置。不要手动写provider.openai.models.gpt-5.4否则会覆盖 OpenCode 内置的模型元数据导致思考强度切换失效。如果你更习惯用 TOML 风格管理配置可以把上面的 provider 段等价写成[provider.openai.options] baseURL http://127.0.0.1:8317/v1 apiKey {file:../../.cli-proxy-api/opencode-api-key.txt}两种写法表达的是同一件事选你顺手的即可。4. 逐步验证从 OAuth 登录到请求链路打通配置写完不代表通了按下面顺序一步步验证哪一步断了立刻能定位。4.1 完成 OAuth 登录cli-proxy-api -config $env:USERPROFILE\.cli-proxy-api\config.yaml --codex-login正常会自动打开浏览器登录后回调本机地址终端显示认证成功凭据保存到auth-dir。浏览器没自动打开就加--no-browser手动复制链接。4.2 启动本地服务cli-proxy-api -config $env:USERPROFILE\.cli-proxy-api\config.yaml看到API server started successfully on: 127.0.0.1:8317就对了。这个窗口别关OpenCode 的请求都要经过它。4.3 验证模型列表$k Get-Content $env:USERPROFILE\.cli-proxy-api\opencode-api-key.txt -Raw $h { Authorization Bearer $k } Invoke-RestMethod -Uri http://127.0.0.1:8317/v1/models -Headers $h这里返回的模型才是当前账号实际可用的。OpenCode 里显示的模型目录不等于都能请求成功。4.4 验证 OpenCode 请求opencode run Reply with OK only. -m openai/gpt-5.4返回OK说明链路通了。再测思考强度opencode run Reply with MEDIUM_OK only. -m openai/gpt-5.4 --variant medium opencode run Reply with XHIGH_OK only. -m openai/gpt-5.4 --variant xhigh两个都能返回说明 variant 机制也正常。TUI 里用/models选模型CtrlT循环切换思考强度。5. 本篇常见认证失败排查5.1 Incorrect API key provided: cliproxy...这是最典型的。原因就是 OpenCode 把本地 key 发到了官方 OpenAI 端点。检查opencode.json里baseURL是否真的指向http://127.0.0.1:8317/v1。如果你之前在/connect里把cliproxyapi-...当官方 Key 填过把它清掉改用配置文件方式。5.2 401 但 baseURL 看着没错先确认 CLIProxyAPI 服务窗口还在运行端口没被占用。再确认api-keys里的值和opencode-api-key.txt里的值完全一致包括前缀。Windows 下用Set-Content -NoNewline生成的文件末尾没有换行读取时用-Raw更稳。5.3 empty_stream: upstream stream closed before first payload上游流式响应在首个 payload 前断开。先试命令行加--variant mediumopencode run Reply with OK only. -m openai/gpt-5.4 --variant medium命令行能跑通就重启 OpenCode TUI 再试。同时确认 CLIProxyAPI 配置里保留了streaming.keepalive-seconds: 15和bootstrap-retries: 1。5.4 /models 里模型很多但实际不能用OpenCode 的模型列表来自它的模型目录和 provider 元数据真正能调用哪些要看 CLIProxyAPI 的/v1/models返回。以那个接口为准别被 OpenCode 的展示列表误导。5.5 路径转义导致配置读取失败Windows 路径在 YAML 里用反斜杠容易出问题统一改成/。auth-dir和apiKey的文件引用路径都检查一遍。6. 长期编码场景的接入建议如果你只是偶尔跑几条命令上面的配置就够了。但如果你打算把 OpenCode 当成日常 coding agent 长期用建议把 Key 和通道管理固定下来别每次手动改配置。TaoToken 的 Coding Plan 适合这种长期编码场景统一管理 Key 和额度OpenCode 这边只要保持baseURL和apiKey指向稳定通道即可。想验证某个模型是否可用可以直接在模型对话页面测一条请求确认通道没问题再回到 OpenCode 里跑。接入相关的参数和报错对照文档里写得比较细https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite日常启动顺序就两条命令cli-proxy-api -config $env:USERPROFILE\.cli-proxy-api\config.yaml opencode进 TUI 后/models选模型CtrlT切思考强度。认证失败这件事九成以上是baseURL没指对先把这一条确认了剩下的都是小问题。