薅羊毛翻车？Codex 强制手机号验证，两个硬核绕过方案实操指南

最近 AI 爱好者圈子里有点“人心惶惶”，不少朋友发现自己之前费劲心思薅来的 K12 账号，特别是用来玩 Codex 的，突然全都被风控了。

打开界面直接提示需要手机号验证，甚至不管怎么切换节点都躲不过去。很多大佬都在问：“这下是不是彻底凉了？难道只能去买昂贵的谷歌卡（GG卡）来接收验证码？”

Codex登录界面提示需要手机号验证

Codex登录界面提示需要手机号验证

先别急着充值，如果你使用的是 Business 空间，其实还有两套比较硬核的技术方案可以绕过这个验证机制，今天就把底层的逻辑和操作思路细细扒来给大家讲讲。

简单来说，OpenAI 的风控系统监测到了账号的异常行为。特别是某些通过 K12 教育计划申请的免费或低价账号，由于使用频率过高、IP 跳跃过于频繁或者登录环境与注册地不符，就被判定为“高风险”。一旦被打上标签，常规的密码登录就会直接卡住，强制要求绑定手机号进行人机验证。

但是，对于 Business 版本的账号，API 和 Token 机制相对独立，我们可以利用这一点来曲线救国。

Access Token获取配置界面

开发者设置中获取Access Token的界面示例

这是目前最稳妥、“折磨”指数最低的方法。它的核心思想是：既然系统的前端登录页面拦截了密码登录，那我们直接用“通行证”（Access Token）进去。

原理分析： Business 空间通常允许管理员生成具有特定权限的访问令牌。这个 Token 就像是一把万能钥匙，直接绕过了需要短信验证的密码交互环节。

实施步骤：

获取 Token： 登录你的 Business 管理后台（如果能进得去），在“开发者设置”或“API 管理”区域，创建一个新的 Access Token。建议权限控制在“Read and Write”或者根据实际使用需求设定。
配置客户端： 在你使用的 Codex 客户端或第三方工具中，不再填写账号和密码，而是直接填入获取到的 Token 字符串。
验证： 保存配置后直接运行，通常工具会直接校验 Token 有效性并建立连接。

优点： 非常稳定，有效期长（取决于后台设置，通常可达数月甚至更久），不需要频繁折腾。

缺点： 需要你有管理后台的权限，且不能泄露 Token，否则别人拿到就能直接操作你的账号。

如果你无法获取后台的 Token 权限，或者你的账号类型不支持生成 Token，那么这套“从 Web 端借 Session”的方法就是唯一的救命稻草了。虽然麻烦点，但胜在通用性强。

原理分析： 我们在浏览器网页端登录时，服务器会下发一个 Session（会话凭证）。如果你能从浏览器中把这个 Session 信息（通常是 auth.json 格式或 Cookie）提取出来，直接“喂”给 Codex 客户端，客户端就会认为你已经是登录状态，从而跳过验证步骤。

具体操作思路：

浏览器登录： 在电脑浏览器上正常登录你的账号（如果遇到验证码，这里可能还是得过一次，或者使用未被封号的 IP 环境登录）。
提取 Session： 使用浏览器的开发者工具（F12），在“Application” -> “Cookies” 或 “Local Storage” 中找到相关的认证字段，或者使用现成的浏览器插件一键导出 auth.json 文件。
导入客户端： 找到支持导入 auth.json 的 Codex 第三方客户端（很多开源版本如某些 Python 脚本都支持此功能）。将文件导入，客户端会解析其中的凭证信息。
短效登录： 客户端利用导入的凭证直接发起请求，相当于复制了浏览器的登录态。

注意事项（重要！）：

没有 Refresh Token（RT）： 这种方式获取的通常只有 Access Token（AT），没有用于刷新令牌的 RT。这意味着你的登录是有时效的。
过期问题： 具体能用几天取决于 Session 的有效时间设置，有的几小时，有的几天。一旦过期，你只会看到报错，这时候必须重复上述步骤，重新从浏览器提取并导入。

遇到强制手机号验证确实很烦，但只要账号主体没有被封禁（Business 空间），通过技术手段“绕路”还是完全可行的。

当然，最稳妥的方式还是珍惜账号，不要过度频繁地调用接口，保持合理的 IP 稳定性，毕竟“薅羊毛”也是有风险的。希望这两个方案能帮大家把捡来的羊毛继续薅下去！