用途：在 great_cto 中运行受控的 Codex 生命周期，由控制器读取 shared/pipeline.toml、维护游标并掌管所有写入与门禁切换，不手动串联角色，也不模仿 Claude Code hooks。
用法：使用固定版本入口 npx --yes great-cto@3.62.0 codex-host。先执行 doctor 与 list 预检；doctor.state=blocked 时不得启动。启动需指定绝对项目目录、提示、允许路径与操作者拥有的策略文件，例如 start --dir /absolute/project --prompt "the requested outcome" --allow src,tests,docs --checks-policy /absolute/operator/checks.json --release-policy /absolute/operator/release.json。退出码 2 不代表成功，表示需处理门禁或人工操作。
能力与限制：自 3.47.0 起可用 --routes 让独立图角色跨主机运行，如 --routes qa-engineer=claude-code,security-officer=codex；控制器仅并发调度对称 join 对，检查提案重叠、序列化写入并运行现有验证器与人工门禁，路由在单次运行内固定。审批需传回控制器签发的令牌（approve、approve-release、resume），recover 仅在检查记录原因后使用，cancel 撤销未执行的审批但不删除外部审计证据。本地与 GitHub Release 适配器发布不可变制品且 activation 为 none，不部署流量；本地回滚即选择旧目录，GitHub 回滚需新的受门禁替代发布，生产激活需单独适配器与审批契约。运行存储不得为组/全局可访问。详细策略模式见 docs/HOST-CODEX.md。