模型看見的工具清單，是一次取樣算出來的

你剛接上 MCP filesystem，模型這一輪還在跑。要是按整輪使用者對話凍工具表，新連上的伺服器得等下一條使用者訊息才進選單。要是每調一次工具凍一次，同一次取樣裡並行的兩次呼叫可能看見兩份不同的表。

廣告一份、執行另一份，或者執行到一半表變了，是工具表最常見的翻車。

Codex 把這一次取樣的模型、審批、環境、MCP 綁定和已經算完的 tool_router 一起放進 StepContext。註釋寫明它是 request-scoped：取樣請求之間可以變，同一次取樣裡不變。tool_router 是 this exact sampling request 的計劃。

取樣進行期間，模型看見的名字和能 dispatch 的 runtime 都讀這份快照。MCP 伺服器在這次取樣中途掉線，改不了已經算完的表。下一次取樣會再走 mcp_runtime_for_step，綁定可能複用，也可能換成空綁定。出處：codex-rs/core/src/session/step_context.rs 第 17 至 47 行；codex-rs/core/src/session/mcp.rs 第 348 至 357 行

所以凍結單位是 step，不是 turn。一個 turn 裡可以有多次取樣，每次重建一份 StepContext。出處：codex-rs/core/src/session/turn.rs 第 1318 至 1320 行

可見和可執行共用一份快照，下一輪再吸收新連線。換個語言重寫，最小形態仍是一個函式：輸入開關、MCP 目錄、身份，輸出可見表和可執行表，請求開始時算一次，算完就凍。

審批模型如果看見工作模型那整張 MCP 和協作工具表，它就能去 spawn_agent、讀外部資源，審批本身被繞開。先註冊全表再過濾，漏一條分支就會把不該給的名字送出去。

規劃函式按身份決定走哪些來源。Guardian 評審員的標籤必須恰好是 guardian。權限檔案不是 Managed，函式直接返回，註冊表是空的。Managed 且有環境時，最多三件：exec_command、write_stdin、可選 view_image。普通會話才走 shell、MCP 資源、實用工具、協作這四組，再追加 MCP、擴充和動態工具。出處：codex-rs/core/src/guardian/review.rs 第 212 至 220 行；codex-rs/core/src/tools/spec_plan.rs 第 144 至 164 行、第 889 至 934 行

讀盤也沒有一等入口。handlers 目錄裡沒有 ReadFileHandler。模型要讀檔案，走 exec_command、MCP filesystem，或 view_image 內部的 exec-server API。

身份一變，整組來源都不走。預設關上門發生在評審員、環境缺失、特性關閉這幾處，換語言也用得上。

MCP 工具的 schema 很貴。全掛上，初始請求的 token 會被描述文字吃掉。兩個 server 都提供 read_file，不消歧就會撞名。

暴露態把註冊表拆成幾條可見面。Direct 進初始表。Deferred 只留給 tool_search。Hidden 只留給 dispatch。搜尋開著時，MCP 工具預設 Deferred，不進初始可見表。出處：codex-rs/tools/src/tool_executor.rs 第 51 至 80 行；codex-rs/core/src/mcp_tool_exposure.rs 第 90 至 94 行

finalize_tool_router 只在兩件事同時成立時才掛 tool_search：模型支援 search tool，並且註冊表裡還有至少一個 deferred 且帶 search_info 的工具。沒有 deferred，它不會進表。出處：codex-rs/core/src/tools/spec_plan.rs 第 335 至 370 行、第 578 至 580 行

兩個 MCP server 的同名工具，在規範化階段消歧：預設加 mcp__ 前綴，sanitize 後仍撞車再加 12 位雜湊字尾。外部工具撞到已佔用的核心名，直接跳過。倉庫根 AGENTS.md 仍寫著 mcp_connection_manager.rs，當前樹裡沒有這個檔案，消歧在 tools.rs。出處：codex-rs/codex-mcp/src/tools.rs 第 1 至 5 行、第 113 至 151 行；AGENTS.md 第 35 行

可見、可檢索、可執行是三份集合。token 預算緊就推遲發現，核心名保留、外部讓路。這些不依賴 Rust。