fix: clarify narrowed OAuth consent and verify Codex scope grants

docs/mcp-connection-fix-2026-10-04.md

@@ -31,3 +31,9 @@
 ## 页面配置提示词（2026-10-04 02:32 UTC+8）
 
 新增复制 Codex 配置提示词入口与只读、草稿、普通写入三档申请权限，默认 read,draft。提示词授权本机 Codex 执行连接配置和 OAuth 登录，仅修改 worthpath 连接并保留其他配置；网页确认由用户完成，配置阶段不修改账目。浏览器实际验证三种选项的剪贴板内容、正确资源地址与 scopes；前端类型检查和构建通过，临时账号已清理。没有启动新的真实用户 OAuth 授权，也没有验证外部 Codex 自动执行整段提示词；底层 CLI OAuth 路径沿用本页已有实际验证。
+
+## OAuth 请求范围收窄（2026-10-04 02:56 UTC+8）
+
+授权页新增候选/最终权限的明确区分与动态预览，并优化隐藏权限复选框。配置提示词说明默认 CLI 请求全部权限不等于全部授权，显式 read,draft 路径实测只请求两项，最终始终由用户网页选择与服务端限制。
+
+新增可选 test:mcp:codex，两项真实 Codex CLI 0.160.0 OAuth/DCR 测试通过：显式 read,draft 和默认全部五项请求，网页同等的 consent 选择均发行仅 read,draft 的令牌；39 工具发现、连接权限验证、草稿 pending 且没有直接入账通过。浏览器确认只读默认、草稿选择后最终显示 read,draft、隐藏权限关闭，没有在浏览器点击授权。测试账号与注册已清理。前后端类型检查和前端构建通过，未重复全业务回归，无新增迁移。

docs/mcp.md

@@ -120,3 +120,11 @@ cd E:\WorthPath
 ### Windows 执行环境挂起
 
 配置提示词已包含短命令排查：优先无 profile 模式，超过 15 秒仅结束自己启动的检查，受限环境仍挂起时使用执行工具的正常权限申请流程继续。OAuth 等待网页回调不适用短命令超时。2026-10-04 本机通过提升权限、login:false 和官方 CLI 完整路径执行 --version 成功，版本 0.160.0。不能据此保证所有客户端沙箱均允许本机执行；权限申请被拒时必须报告具体原因。本次未修改真实 MCP 配置或发起新的用户授权。
+
+### 客户端请求范围与最终授权
+
+本机 Codex CLI 0.160.0 实测：显式 login --scopes read,draft 只请求两项；不指定 scopes 的默认登录请求全部五项。请求范围是候选权限，不是已经授予的权限。授权页可选择只读、草稿或直接写入；隐藏读写默认关闭。页面分别展示候选和最终范围，服务端验证选择是请求子集，再用所选 scopes 覆盖待处理参数并发行令牌。
+
+申请草稿模式时选择“草稿修改（网页确认）”，不勾选隐藏账户；最终将授予应显示 read,draft。授权后用 connection_info 核对实际 scopes 仅有两项、readHidden/writeHidden 均 false。不要仅因默认请求包含全部候选权限就停止登录，最终批准仍由用户完成。
+
+新增可选真实客户端回归：apps/api/test/codex-oauth.test.ts。设置 CODEX_CLI 为本机官方 Codex 可执行文件路径，然后运行 pnpm --filter @worthpath/api test:mcp:codex。前置为可访问的开发 API/MySQL，支持 TEST_API_URL/MCP_PUBLIC_URL/WEB_ORIGIN。测试使用独立临时 CODEX_HOME 与账号，不使用真实客户端凭据；两个测试分别覆盖显式和默认请求，最终 grant 仅 read,draft、39 工具发现、隐藏权限关闭和普通修改返回 pending 且没有 position 入账。自动清理临时凭据、账号与注册。两项实际通过；没有验证用户真实桌面聊天内工具调用。