Windows 上出现「Codex Windows 安装未完成」、反复 UAC，或报错 orchestrator_helper_incomplete 时，多半是 elevated 沙箱写完 setup_marker.json 后当前用户读不到。先用一条 icacls 修好 ACL；仍失败再改 unelevated 或探测 MXC。
三种沙箱怎么选
官方原生 Windows 沙箱有三种（见 Windows sandbox）：
- mxc（推荐）：Win11 新能力，无需管理员建号与额外防火墙规则。
- elevated（遗留首选）：需管理员批准 setup，隔离更完整。
- unelevated（次级回退）：网络隔离更弱、不支持 deny-read，适合策略挡住 elevated 时临时使用。
优先 Windows 11；Win10 尽最大努力支持，实践需 ≥1809（含 ConPTY），并保证 winget 可用。
安装与 config.toml
安装 CLI
powershell -ExecutionPolicy ByPass -c "irm https://chatgpt.com/codex/install.ps1 | iex" 也可 npm install -g @openai/codex。完整步骤见 Codex CLI Windows 安装与 API 接入 。
启用 MXC 与遗留回退
[features]
prefer_mxc = true
[windows]
sandbox = "elevated" # 或 "unelevated"MXC 兼容：Win11 24H2 build 26100.9278+ 或 25H2 26200.9278+。CLI ≥0.162.0 探测：
codex -c windows.sandbox=mxc sandbox --include-managed-config --permission-profile :workspace -- cmd.exe /d /c echo MXC_OK
$LASTEXITCODE 期望 MXC_OK 且退出码 0。无本地管理员时，IT 可执行：
codex sandbox setup --elevated --user 'DOMAIN\alice' --codex-home 'C:\Users\alice\.codex'安装未完成 / setup 失败排查
常见提示：orchestrator_helper_incomplete、sandbox setup marker missing or incompatible。社区（#30445、#35407）显示：helper 常已写出 %USERPROFILE%\.codex\.sandbox\setup_marker.json，但当前用户 ACL 读不到，从而循环 setup。
- UAC / 策略 ：拒绝 UAC，或禁止建本地用户、改防火墙、授予沙箱登录权，都会失败；公司电脑请 IT 确认。
- 一条命令修 ACL（普通 PowerShell）：
icacls "$env:USERPROFILE\.codex\.sandbox\setup_marker.json" /grant "$env:USERDOMAIN\$env:USERNAME:F"多数环境立刻不再反复 UAC。自定义启动器请保留
USERNAME/USERDOMAIN。 - 改用 unelevated：在
config.toml设sandbox = "unelevated"。 - 探测 MXC 与日志 ：满足条件则用上文 MXC 探测。日志看
CODEX_HOME\.sandbox\sandbox.log；勿发送.sandbox-secrets/。可用/status、/debug-config（见 Codex CLI 斜杠命令大全 ）。
常见报错与解决
- orchestrator_helper_incomplete / marker missing：先
icacls；必要时重跑完整 setup。 - 错误 1385：沙箱用户已建但登录类型被拒 → IT 查 logon rights；短期 unelevated。
- Everyone 可写警告 ：收紧所列目录 ACL 后重启或重跑 setup。
- 沙箱无网络 ：确认权限是否本就禁网；重启后再试；仍失败收集 sandbox.log。
- 以前可用现失效 ：重启 → 重测 MXC / elevated setup → 临时 unelevated。
HTTP 429 见 Codex 429 报错排查 。另可对照 Claude Code Windows 安装教程（2026）。
FAQ
Q：修好 ACL 还会反复 UAC 吗？
A：正常不会。若仍出现，检查是否删过 .sandbox 或换了 CODEX_HOME。
Q：Win10 能用 MXC 吗？
A：官方将 MXC 描述为 Win11 指定 build 能力。Win10 优先 elevated，否则 unelevated，并确认 ≥1809。
