fix(responses): preserve precommit WebSocket rejection status

[lidge-jun]

Summary

• Carry fix(responses): answer a wrapped WebSocket rejection with its HTTP status #3740: convert canonical precommit WebSocket 4xx refusals into HTTP errors after correlation validation.
• Rebuild bounded permitted metadata without upstream framing headers, dispose refused sockets, and preserve the no-resend behavior for post-commit, malformed and 5xx events.

Verification

• Full Cross-platform CI lane=all: all 25 jobs passed at final descendant bf94d8dfa7b91c0e4acb96b2afce64d3c9a5ddde, including Linux, all six Windows shards and the macOS full-control run.
• This layer's exact head is c8f438b882351e4b87144fd2ab8cf24534daf863 and is an ancestor of that tested final head. Lower-head suites were intentionally not run separately, per the maintainer's final-first validation instruction; they are not represented as independently passing checks.
• Relevant coverage: 4xx/status aliases, hostile and oversized headers, correlation, retained sockets, synchronous lifecycle races and no-resend boundaries.
• Independent Astra high security/correctness reviews completed; valid automated findings were fixed. Local tests, typecheck, builds and installation were not run, per explicit maintainer instruction.
• Protocol cases were checked against the local Codex implementation and official WebSocket documentation.

Checklist

• Scope stays focused and avoids unrelated cleanup.
• Docs or release notes were updated when needed.
• Security-sensitive changes were reviewed for secrets, auth, and unsafe defaults.

Manual stack

Layer	Pull request	Head branch
01	#3791	codex/track1-01-quota-592d
02	#3792	codex/track1-02-compact-592d
03	#3793	codex/track1-03-websocket-592d
04	#3794	codex/track1-04-recovery-592d

Maintainer integration

@lidge-jun explicitly authorized admin integration into dev without a second maintainer approval under MAINTAINERS.md. This is maintainer integration, not self-approval. The final aggregate evidence above and its ancestry cover this stack; lower-head execution is explicitly deferred. Merge bottom-up with merge commits, preserving contributor attribution. Because automatic branch deletion is enabled, move a direct child's base to dev immediately before merging its parent. No native GitHub stack registration or repository-policy change is used.

Co-authored-by: Fred Amartey 43480311+FredAmartey@users.noreply.github.com

[coderabbitai]

Important

Review skipped

Auto reviews are disabled on base/target branches other than the default branch.

🗂️ Base branches to auto review (2)

• ^dev$
• ^preview$

Please check the settings in the CodeRabbit UI or the .coderabbit.yaml file in this repository. To trigger a single review, invoke the @coderabbitai review command.

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: ASSERTIVE

Plan: Team

Run ID: 4ced24b4-0fcb-49e1-8441-f7f2939f3e74

You can disable this status message by setting the reviews.review_status to false in the CodeRabbit configuration file.

Use the checkbox below for a quick retry:

• 🔍 Trigger review

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[github-actions]

✅ Deterministic PR hygiene checks passed.

[lidge-jun]

리뷰 · 우선순위 75 / 80

설명

이 PR은 Track1 스택의 셋째 층입니다. base=codex/track1-02-compact-592d / head=codex/track1-03-websocket-592d(954d0df68), DRAFT입니다. 열려 있는 #3740(wrapped WebSocket rejection을 HTTP status로 돌려주기)을 가져와, precommit 4xx만 변환하고 post-commit·5xx는 no-resend 경로를 유지하도록 좁힌 판입니다. 지금 dev(24c761a05)의 codexWsExchange(src/server/responses/codex-ws-exchange.ts)는 correlation 뒤 바로 commitResponse()하고 error 프레임을 SSE로만 흘립니다. 그래서 upstream이 create 직후 type:"error", status_code:429, ...를 보내도 클라이언트/outer retry 입장에선 200 SSE error로 보이거나, 반대로 잘못 재전송될 여지가 있습니다.

변경 핵심은 wrappedRejectionResponse입니다. payload.type === "error"이고 stream_id가 없으며, status/status_code가 둘 다 있지 않고(경쟁 필드 거부), 값이 정수 400–499일 때만 HTTP JSON Response를 만듭니다. error 객체는 code/message가 string|null 수준인지 검사하고, headers는 rejectionHeaders로 다시 쌓습니다. isSafeResponseHeader + connection-nominated 헤더 제거 + CRLF/NUL 차단 + CodexWsMetadata 바이트/개수/family 예산을 재사용합니다. content-type: application/json, cache-control: no-store를 강제합니다. 호출 지점은 sent && !responseCommitted && type === "error"이고, correlation.accept가 먼저 돌아가서 retained 소켓의 foreign-stream error가 HTTP 거부로 둔갑해 account replay를 허가하지 않게 합니다. 변환에 성공하면 socket dispose·stream close·resolve(rejection)로 끝냅니다. 5xx·post-commit·비정규 gateway URL은 기존 SSE 경로입니다.

#3791의 incomplete 쿼터 귀속과 맞물립니다. WS create가 429 JSON으로 돌아오면 기존 HTTP 쿼터/쿨다운 경로(#3606/#3607 불변식 포함)가 헤더·status를 읽을 수 있습니다. SSE error로만 남으면 그 파이프라인이 빗나갑니다. 테스트는 tests/responses/ws-upstream.test.ts에 “wrapped create refusals” 블록(~280줄)을 추가해 status/status_code, 400–499 보존, 비적격 wrapper는 SSE 유지·outer retry 0회, injection/credentials/framing 드롭, prelude quota merge, metadata budget, post-created 거부, retained socket dispose+correlation 우선, send-throw race를 고정합니다. 기존 multiline error fixture는 status:400을 빼서(이제 변환 대상이 되므로) SSE pretty-JSON 케이스와 충돌하지 않게 고쳤습니다. types/config 대분리와 무관합니다.

경로 src/server/responses/codex-ws-exchange.ts wrappedRejectionResponse - 4xx만, status/status_code 동시 존재 시 null, stream_id 있으면 null. Codex oracle(responses_websocket.rs)은 둘 다 받지만 이 릴레이는 “하나의 aliased field”만 허용한다. 의도된 보수성이다.

경로 rejectionHeaders - prelude snapshot과 payload.headers를 CodexWsMetadata.consume으로 합친다. framing/unsafe/connection-nominated는 버린다. observer 경로(isCodexWsQuotaObservedResponse)로 안 표시되게 해서 quota를 두 번 publish하지 않는다. 테스트가 observations===["30"](prelude rate_limits만)을 기대한다.

경로 exchange 루프 - correlation → (precommit error? reject HTTP) → commitResponse. 순서가 문서·주석과 같다. foreign stream은 identity mismatch로 실패하고 429로 안 바뀐다. retained 소켓은 dispose되어 재reserve 불가.

경로 tests/responses/ws-upstream.test.ts - fetchWithTransientRetry로 attempts===1·fallbacks===0을 고정한 점이 재전송 방지 계약의 핵심이다. metadata overflow는 200 SSE로 남기고 text()가 metadata throw — budget 초과를 “가짜 429 성공”으로 포장하지 않는다.

경로 docs - “precommit + correlation 이후만 4xx HTTP, 헤더 bounded rebuild, no-store, post-commit/5xx no-resend” 한 단락. 구현과 일치한다.

메인테이너의 판단이 필요한 지점

• status와 status_code가 둘 다 같은 429로 오는 업스트림을 정말 버릴지, 값이 같으면 허용할지
• 5xx precommit을 “재전송 위험 때문에” 영원히 SSE로 둘지, 특정 코드만 HTTP로 올릴지
• #3791 쿼터 분류와 이 HTTP 429가 같은 계정 쿨다운 스토어로 합쳐지는 E2E를 최종 CI 외에 한 줄 더 둘지
• DRAFT 스택을 03까지 쪼개 머지할지(비권장: 01/02 base 의존)

너의 추천
우선순위 높은 사용자-가시 WS/API 정확도 수정입니다. create 거부가 200 SSE로 남거나 잘못 재전송되는 쪽이 더 위험하고, 이 패치는 precommit 4xx·헤더 샌드박스·correlation 우선·dispose까지 테스트로 고정했습니다. 최종 CI green이면 #3791–#3794와 함께 dev에 올리길 추천합니다. types/config 대분리로 닫을 PR은 아닙니다.

이 댓글은 grok-bot이 작성했습니다

[chatgpt-codex-connector]

Codex Review Summary

This comment shows the latest Codex review activity on this pull request.

Review	Status	Commit	Review trigger
📝 Code Review	✅ Completed 2026-09-06T18:14:41.206072Z	954d0df	Draft marked ready

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review" or "@codex security review".

Codex reacts with 👀 while any review is running, comments if it has suggestions, and reacts with 👍 once all reviews finish with no findings.