feat(codex): establish quota-history publication identity

[lidge-jun]

Summary

• Give each explicit Codex pool credential publication a private, non-secret quota-history identity. Same-account refresh preserves it, aliases retain their own identities, and replacement/deletion invalidates old writers.
• Add exact dispatched-credential writer capture and separate live-generation/retention checks. Legacy metadata initializes once under the existing store lock without changing credential generation or mutation epoch; optional evidence failures do not fail inference.
• This is the foundation of an ordinary manual chain: publication identity → bounded quota history → capacity estimation. It supplies no history API or capacity estimate by itself. It addresses a prerequisite of [Feature]: retain quota history and make reset windows a scheduling input (capacity estimation, reset ordering, automatic activation) #3376; no issue closure is claimed.

Verification

• Local product suites of all sizes, build, typecheck and install: NOT RUN, per explicit maintainer instruction. Hosted verification follows the final cumulative chain tip.
• git diff --check and staged whitespace check passed (source text only).
• Independent design reflection and A audit: PASS. Independent implementation/security source audit pending.
• Added regression sources for refresh/replacement, alias identity, legacy initialization/epoch, stale capture, metadata compatibility and credential-only projection.

Checklist

• Scope stays focused and avoids unrelated cleanup.
• Docs or release notes were updated when needed.
• Security-sensitive changes were reviewed for secrets, auth, and unsafe defaults.

[coderabbitai]

Important

Draft PR not reviewed

Draft PRs are not automatically reviewed by default.

• Trigger a manual review

To automatically review draft PRs, update your CodeRabbit configuration:

reviews:
  auto_review:
    drafts: true

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[lidge-jun]

리뷰 · 우선순위 54 / 80

이 PR은 Codex pool credential publication마다 비밀이 아닌 private quotaHistoryIdentity를 부여하는 accounts 기초입니다 (#3376 선행). same-account refresh는 identity를 유지하고, alias는 각자 identity를 가지며, 교체/삭제는 이전 writer를 무효화합니다. history API나 capacity 추정은 넣지 않고, 체인 계획상 publication identity → bounded history → capacity로 이어집니다. #4352 OAuth callback 퇴직 이후에도 eligibility/reset/generic family는 남아 있고, 이 PR은 그 중 history 축의 바닥입니다.

구현은 src/codex/account-store.ts에 capturePoolQuotaWriter, poolQuotaHistoryIdentity, isPoolQuotaWriterLive를 추가합니다. dispatched accessToken+chatgptAccountId+generation이 일치할 때만 writer를 주고, legacy metadata는 기존 store lock 안에서 한 번 초기화하며 credential generation/mutation epoch는 올리지 않습니다. 실패는 inference를 막지 않습니다. PoolQuotaWriter는 src/codex/quota-types.ts에, 필드 선언은 src/types/accounts.ts에 있습니다. 테스트가 refresh·alias·legacy·malformed metadata·identity-changing CAS를 꽤 단단히 고정합니다.

draft·base dev이지만 CONFLICTING/DIRTY입니다. account-store는 #4352 이후에도 자주 움직이는 파일이라 충돌이 이상하지 않습니다. #4371과는 무관하고, 쿼터 라우팅 픽스 #4368과도 저장 축이 다릅니다(한쪽은 process-local health, 한쪽은 credential publication identity).

이 identity는 비밀 토큰을 writer DTO에 실지 않습니다. 테스트도 access/refresh가 JSON.stringify(writer)에 안 나오는지 검사합니다. #4368이 process-local health로 “지금 거부”를 다루는 것과 달리, 이 PR은 디스크에 남는 publication 키를 만들어 나중에 시계열을 붙일 자리를 엽니다. 둘을 같은 PR로 합치지 않은 선택이 맞습니다.

경로 capturePoolQuotaWriter - optional evidence라 catch-all이 맞지만, 디스크/락 실패가 조용히 writer 없음이 되면 history gap이 생깁니다. 나중에 history API에서 gap 신호를 어떻게 할지 계획에 남겨 두세요.

경로 explicit republish - 같은 credential을 다시 save하면 identity가 바뀌어 writer가 은퇴합니다. 운영자가 “같은 계정 재등록”을 자주 하면 history가 조각납니다. 의도된 보안/격리라면 문서에 명시하세요.

충돌 - 현 상태로는 land 불가. accounts 체인 문서(devlog 048/049/050)는 방향이 분명합니다.

메인테이너의 판단이 필요한 지점

• fix(oauth): retire callback connections across repeated logins #4352 이후 accounts 남은 트랙 중 이 identity를 언제 넣을지
• conflict만 풀면 draft 유지한 채 tip으로 갈지, history writer PR과 합칠지
• types/accounts 변경이 split 캠페인에 걸리는지 (경미해 보임)

너의 추천
충돌 해소 후 draft로 유지하고, history/capacity child가 준비되기 전에는 dev 필수 착지로 올리지 마세요. 설계·테스트 밀도는 좋은 편이라 체인 첫 칸으로는 적합합니다.

이 댓글은 grok-bot이 작성했습니다

[github-actions]

✅ Deterministic PR hygiene checks passed.