CCSwitch 选中 profile 仍提示模型无权限，怎样区分 Key、模型和项目范围？
CCSwitch 显示连接成功，只说明配置能发出请求。收到“模型无权限”或 403 后，真正需要确认的是：哪把 Key、经由哪个地址、以哪个项目身份请求了哪个模型。
适用场景：认证通过，授权却没有通过
适合团队有多个项目、测试与正式环境、不同模型套餐或多人共享 profile 的情况。常见表现是列表可以加载、健康检查也通过，只有某个模型或某类任务失败；或者同一 Key 在命令行能用，在 Codex 接入或自动化脚本里却返回 403。它与base_url 和路由排错不同，本篇的重点是“请求身份是否拥有模型和项目范围”。
开始前准备一个最小、无敏感业务内容的测试提示词，以及失败请求的时间、模型别名、HTTP 状态和 request_id。不要收集完整 Key，也不要把 Key 粘贴到截图、聊天或站内文章里。排错证据只需要尾号、所属环境、权限标签和结果。
把权限拆成五层，而不是只问 Key 对不对
第一层是凭证有效性，通常对应 401：Key 缺失、过期、格式不对或被旧环境变量覆盖。第二层是账户或组织授权，可能表现为 403。第三层是模型授权：账户有效，但没有目标模型或特定能力的访问范围。第四层是项目、租户、区域或预算标签；同一 Key 在不同项目配置下可能被拒绝。第五层是 CCSwitch 实际使用的 profile 与 base_url，界面看到的选择不一定等于进程最终读取的配置。
先分清这五层，可以避免“换一把更高权限 Key 试试”的危险做法。权限不清时扩大范围会让测试问题变成费用和安全问题。永沃云枢建议把 CCSwitch 配置当作调用入口，而不是权限本体；真正需要保留的是身份、范围、模型名、路由和验证样本的对应关系。
操作步骤：用最小请求还原真实身份
- 锁定一次失败样本，记录时间、模型别名、状态码、错误码、request_id 和执行入口。先不要修改配置。
- 在 CCSwitch 中查看当前 profile 的显示名称、base_url、模型映射与 Key 尾号；同时检查项目级 override 和环境变量。参考项目 override 优先级，防止误看全局配置。
- 使用同一入口发送最小文本请求。若可获取模型列表，列表结果只能作为线索，不能替代实际调用，因为列表权限与推理权限可能不同。
- 将目标模型改为已知可用的低风险模型。如果基础模型可用、目标模型 403，重点检查模型授权、区域或套餐范围；若全部失败，再回到 Key 和路由层。
- 把同一 Key 在测试项目和正式项目分别记录为两个样本，不要用“能不能用”合并结论。项目标签、组织 header 或调用地址不同，都可能改变授权结果。
- 确认根因后只做最小修复，例如调整允许模型、纠正项目绑定或清除旧 override。修复后重复原失败样本和一个正常样本，并记录结果。
排错路径：从状态码走到可证明的结论
401 优先查 Key 来源、空格、过期和环境覆盖；不要立刻怀疑模型。403 先比较目标模型与可用模型，再查项目、组织、区域、预算或供应方策略。404 更可能是模型别名或请求路径不匹配，不能被当成权限结论。429 表示限额或并发控制，和“无权限”是不同处置路径。若日志没有 request_id，先补可关联字段，下一次错误才有证据。
如果 CCSwitch 显示 profile 已切换，但请求仍走旧模型，检查进程是否需要重启、项目配置是否覆盖和调用日志里的真实 provider。对于 Codex 接入，不要只看桌面界面的 profile 标识，终端启动时已注入的环境变量也可能决定实际身份。这个现象也与环境变量优先级有关。
常见问题 / 避坑
第一，不要用管理员或全权限凭证“临时验证”，它掩盖最小权限缺失。第二，不要把模型列表可见等同于模型可调用。第三，不要同时改 Key、base_url、模型名和项目标签，否则无法定位真正的修复动作。第四，不要为了消除 403 而绕过预算或项目限制；这些限制通常是成本与权限治理的一部分。
AI 自动化办公的批处理任务应使用单独的用途标签，避免与交互式 Codex 任务共用结论。开发者 AI 调用的权限记录至少应能回答：谁在什么环境，通过哪个 profile，调用哪类模型，失败后由谁审批范围调整。
检查清单
- 失败样本包含时间、模型、状态、错误码、request_id 和执行入口。
- Key 仅记录尾号和所属环境，没有明文进入日志或文档。
- 全局 profile、项目 override、环境变量和实际 base_url 已分别核对。
- 基础模型与目标模型的结果可对比，模型范围结论有证据。
- 401、403、404、429 没有混成同一种“连接失败”。
- 修复后重跑了原失败样本和正常样本，并参考多 provider 冒烟测试、CCSwitch 专题、AI API 专题和Codex 专题完成复核。
验收标准
验收不是“换 Key 后能说话”，而是每个必要模型在正确项目与环境下用最小权限成功，未授权模型仍被拒绝，日志能说明实际 profile 和请求身份。达到这个标准后，后续添加模型或调整 CCSwitch 配置时，团队不会再用模糊的“权限不对”掩盖路由、环境或成本治理问题。