fix: route master agent through codex device pool

docs/architecture/ai_handoff_index_cn.md

@@ -194,6 +194,7 @@
 - 多用户 / RBAC / Skill / 主 Agent 权限和多设备控制的集中状态、回归矩阵与缺口清单见 `docs/architecture/rbac_skill_regression_matrix_cn.md`
 - `我的 > 主 Agent 提示词 / 记忆` 当前可编辑管理员全局主提示词、用户主提示词、当前对话附加提示词，以及用户通用记忆 / 项目记忆
 - `我的 > AI 账号` 必须可查看和切换 `主 GPT / 备用 GPT / API 容灾`
+- 主 Agent 使用 `Master Codex Node` 时必须优先走授权 Codex 设备池：设备在线且 `Codex App Server / CLI / GUI` 至少一条模型通道在线才可用；首选设备不可用或执行失败会自动切下一台，全部 Codex 设备不可用后才使用用户配置的 API Key；如果两类通道都没有，APP 中提示“当前没有可用的模型渠道”
 - `我的 > 技能` 必须按绑定设备展示 Skill，并支持一键复制调用语句
 - Skill 远程治理第一版已经接通最高管理员后端入口和设备端执行：`GET/POST /api/v1/admin/skills/requests` 可创建和查看 `install / update / uninstall / rollback / version_lock` 请求，local-agent 通过 `claim / complete` 认领执行并回写最新 Skill 清单。当前设备端已增加 source allowlist / trusted source、`checksum / expectedChecksum` sha256 校验、更新 / 卸载 / 回滚前备份和失败恢复；仍未做签名校验和依赖安装沙箱
 - `设备` 页当前只允许出现生产设备，旧演示脏数据不能回流到正式视图

docs/architecture/api_and_service_inventory_cn.md

@@ -759,8 +759,8 @@
   - `projectId=master-agent` 且 `kind=text` 时，会先返回 `masterReplyState + task`，真实回复随后异步回写到账本
   - Telegram Gateway 当前也复用这条主 Agent 链路：Telegram 私聊文本会写入 `master-agent` 项目，快速回复直接返回，异步任务通过 `externalReplyTarget` 在完成后回推 Telegram
   - 当前主链路优先走 `Master Codex Node`：`task queue -> local-agent -> codex exec -> complete`
-  - 如果当前主控是 `Master Codex Node`，但节点离线或执行立即失败，主 Agent 当前会优先尝试已配置的 `OpenAI API / 阿里百炼 Qwen` 账号，避免聊天直接只剩失败日志
-  - 如本机节点未接通，可切到 `OpenAI API` 或 `阿里百炼 Qwen` 备用账号
+  - 如果当前主控是 `Master Codex Node`，主 Agent 会先使用授权范围内的 Codex 设备池：设备在线且 `Codex App Server / CLI / GUI` 至少一条模型通道在线才可作为模型通道；首选设备不可用会切下一台，执行中失败会把同一任务重排到下一台，全部 Codex 设备不可用后才切到已配置的 API 备用链
+  - 如 Codex 设备池和 API Key 都不可用，主 Agent 会在对话里提示“当前没有可用的模型渠道”，不再暴露内部 master 节点账号话术
   - 群聊项目当前会带上 `collaborationGate`，用于标明当前是否需要先经主 Agent / 用户审批
   - 群聊文本消息当前还会返回 `dispatchPlan / dispatchRecommendation`，用于展示主 Agent 推荐的线程下发方案
   - 如果群里已经有一条待确认推荐，接口会直接返回 `409`，要求先确认或拒绝当前推荐，避免审批消息叠加

docs/architecture/current_runtime_and_deploy_status_cn.md

@@ -188,7 +188,7 @@ cd /Users/kris/code/boss
 - 当前 `我的 > 主 Agent 提示词 / 记忆` 页面已接通：管理员全局主提示词只读展示、用户主提示词、当前对话附加提示词，以及用户通用记忆 / 跨项目项目记忆都可以在 Web 端查看和编辑；当前对话设置按登录账号隔离，管理员全局主提示词不可覆盖
 - 当前 Web 端 `master-agent` 会话页右上角也已补齐微信式三点菜单，支持直接进入 `提示词 / 模型 / 推理强度 / 记忆 / 刷新`
 - 当前 `approval_required` 群聊在 Web 端已统一用单一状态快照驱动：如果存在新的待确认推荐，会自动折叠旧的拒绝态；如果上次推荐已拒绝，会明确展示“重新生成新的推荐”的恢复入口
-- 当前如果主控身份还是 `Master Codex Node`，但该节点离线或执行立即失败，主 Agent 会优先尝试已配置的 `OpenAI API / 阿里百炼 Qwen` 备用账号，不再把失败日志直接原样回给用户
+- 当前如果主控身份是 `Master Codex Node`，主 Agent 会先按授权范围构建 Codex 设备池：设备必须在线，且 `Codex App Server / CLI / GUI` 至少一条模型通道在线，`codexAppServer.metadata.accountSummary.signedIn=false` 会被视为不可用；首选设备不可用时会自动切到下一台可用 Codex 设备，执行中失败也会先重排到下一台设备，全部 Codex 设备不可用时才尝试已配置的 API 备用链；如果 Codex 设备池和 API Key 都不可用，APP 会提示“当前没有可用的模型渠道”
 - 当前原生 Android 的聊天发送已收短客户端等待窗口；`master-agent` 单聊依赖服务端快速入队和消息流里的“主 Agent 思考中 / 回复超时 / 重试等待”状态，不再要求客户端长时间同步阻塞
 - 当前设备导入主链也已补上第一轮后端闭环：`heartbeat` 可上报真实项目候选，服务端会生成 `deviceImportDraft`；用户可提交勾选结果、生成导入决议，再把选中的线程真正落成聊天窗口
 - Web 与原生 Android 当前都已补上“新设备导入草稿 -> 勾选 -> 决议预览 -> 应用导入”的前台流程；已绑定生产设备继续保留 heartbeat 自动导入主链