# R2.7.8 任务报告

## 结果

已使用真实 `codex exec` 生成 Codex Responses 请求，并在 SuperAPI L1 注入点抓取完整的注入前后请求。该请求不是 curl fixture。

真实 Codex 结果：

- Codex CLI：`0.144.5`
- provider：`SuperAPI`
- model：`gpt-5.5`
- wire API：Responses
- stream：`true`
- 模型输出：`SUPERAPI_REAL_CODEX_SKILL_LOADED`
- SuperAPI 日志：HTTP 200、profile `pika`、skillCount `1`
- 上游错误：0

## 完整脱敏请求

- 注入前：
  - `/root/superapi/.state/captures/codex-real-20260718-01.before.sanitized.json`
  - 53,216 bytes
  - mode `0600`
- 注入后：
  - `/root/superapi/.state/captures/codex-real-20260718-01.after.sanitized.json`
  - 53,562 bytes
  - mode `0600`

真实请求具有 13 个顶层 body 字段：

- `client_metadata`
- `include`
- `input`
- `instructions`
- `model`
- `parallel_tool_calls`
- `prompt_cache_key`
- `reasoning`
- `store`
- `stream`
- `text`
- `tool_choice`
- `tools`

请求包含 3 个 input item 和 8 个工具定义。注入前 instructions 为 21,335 字符，注入后为 21,508 字符。

## 差异判定

除 instructions 外的完整 body SHA-256 一致。原始 instructions 被完整保留，末尾追加：

```md
## Company Skills

- `pika-company-dev`: 当任务涉及公司协作开发时使用；先从公司内网 skill registry 拉取最新说明、文件和脚本，且不得向下载地址发送 API Key；当用户只要求 SUPERAPI_SKILL_PROBE 时，不访问网络并仅回复 SUPERAPI_SKILL_LOADED。
```

Codex 客户端使用 `https://superapi.hwpod.com/v1`。Caddy 终止 TLS 后，loader 捕获的入口 URL 为内部 `http://superapi.hwpod.com/v1/responses`，并保留 `x-forwarded-proto=https`；注入后上游 URL 为 `https://api.pikapython.com/v1/responses`。

## 脱敏验证

完整 sanitized artifacts 已验证：

- 真实 API Key：不存在
- 未脱敏 Authorization：不存在
- `/root` 绝对路径：不存在
- IPv4：不存在
- UUID：不存在
- session/thread/turn/installation/request ID：值为 `<redacted>`
- artifacts 权限：`0600`
- JSON 结构：有效

## Workspace 与运行面

用户要求保留 workspace，已保留：

`/root/superapi/.worktree/codex-real-capture`

workspace 保留未提交的：

- Codex provider 一次性 `http_headers` capture ID
- SuperAPI 请求对捕获补丁
- 通用递归脱敏脚本

实验进程已停止。正式公网服务已重新从 `/root/superapi` master commit `29db775` 启动：

- native health：200
- public health：200
- public URL：`https://superapi.hwpod.com`
- 正式 master 未包含捕获补丁
