Spawn-Env-Route — X-Device-Token -> Konto-Pool -> Vault-Decrypt (W3)
GET /codeagentsessions/internal/agent-env?command=<claude|codex>:
Geraete-Token (Terminal ODER Workspace, EIN _hookToken-Lookup) -> Mandant,
Pool-Auswahl serverseitig (provider-passend, auth_error raus, rate-limited
nachrangig, juengst-gepollt zuerst), Klartext via core resolveCredential
(Audit+lastUsed, by-name — NICHT resolveLLMCredential). Leer-Fall = 200
{env:{}} mit benanntem Grund, nie 5xx; Vault-Wurf = 502 (CLI fail-open).
codex liefert bewusst kein Env (auth.json-Weg, offene Scheibe).
Dazu: Konten-Tabelle bekommt den gefuehrten Verbinde-Einstieg
(hideCreate + primary-Link /coding/codeaccounts/connect — zwei Datensaetze,
SDUI-Anlegen schriebe ein Konto ohne Token). Pin m457->m458 (Credentials-
Enum-Fix) + npm ci (Kaskade-50-Falle: Lock sprang, node_modules nicht).
25 neue Proben (16 agent-env inkl. Mandanten-Riegel je mit Umkehrprobe,
gegen echten mongod; Flip-Probe: gegen m457 rot am ValidationError).
Volle Reihe 1128/1128.
Geraete-Token (Terminal ODER Workspace, EIN _hookToken-Lookup) -> Mandant,
Pool-Auswahl serverseitig (provider-passend, auth_error raus, rate-limited
nachrangig, juengst-gepollt zuerst), Klartext via core resolveCredential
(Audit+lastUsed, by-name — NICHT resolveLLMCredential). Leer-Fall = 200
{env:{}} mit benanntem Grund, nie 5xx; Vault-Wurf = 502 (CLI fail-open).
codex liefert bewusst kein Env (auth.json-Weg, offene Scheibe).
Dazu: Konten-Tabelle bekommt den gefuehrten Verbinde-Einstieg
(hideCreate + primary-Link /coding/codeaccounts/connect — zwei Datensaetze,
SDUI-Anlegen schriebe ein Konto ohne Token). Pin m457->m458 (Credentials-
Enum-Fix) + npm ci (Kaskade-50-Falle: Lock sprang, node_modules nicht).
25 neue Proben (16 agent-env inkl. Mandanten-Riegel je mit Umkehrprobe,
gegen echten mongod; Flip-Probe: gegen m457 rot am ValidationError).
Volle Reihe 1128/1128.