用途：作为调用 OpenAI API 的凭据入口。当用户在 Codex 中要求构建、运行、测试、调试或配置由 OpenAI 支持、未指明其他提供方的 AI 应用、UI、脚本、CLI、生成器或工具，或要求“使用 AI”生成输出时启用。若只需文档、概念说明、静态前端或无 API 行为的原型，则不适用。
主要能力：在不打印明文密钥的前提下检查现有凭据；通过安全连接器创建密钥；将密钥写入经确认的本地环境文件。仅使用托管式 Platform 选择器与本地目标确认流程，只向连接器传递公开 JWK 材料（kty、n、e）。
必要用法：开始编辑、测试或配置前，先静默检查是否存在可用的 OPENAI_API_KEY，并询问用户复用还是新建；在用户答复前停止，不创建目录、不脚手架、不写代码。经确认后运行应用工具预检，加载 create_encrypted_openai_api_key，执行 prepare 并保留 private_key_path，将 recipient_public_key_jwk 发送给连接器。用解密命令写出密钥： node "<plugin root>/scripts/openai-platform-api-key.mjs" decrypt --private-key "<private key path from prepare>" --ciphertext "<encrypted_api_key.ciphertext from connector result>" --target "<confirmed env file path>" --workspace "<repo root>" --env-name OPENAI_API_KEY 默认目标为 .env.local 和 OPENAI_API_KEY，优先使用被忽略或未跟踪的环境文件。
限制：绝不请求、打印、摘录或粘贴明文密钥；不得用 cat、grep、rg 等可输出密钥的命令检查凭据；仅在 Codex 本地/应用会话中使用，不使用仅限 ChatGPT 的浏览器流程。在代码库中解密须将仓库根目录作为 --workspace 传入，辅助工具拒绝符号链接及工作区外目标。若指定了其他 AI 提供方则不适用。组织、项目选择及具体密钥命名细节按选择器返回为准。