feat(lc doctor): warn when local Codex version differs from Dockerfile pin

[LouisDM]

重开 #6。原 PR 由 @AshSgDe29071999 提交，commit 署名已保留（作者仍是原作者，我只是 cherry-pick 到新 main 上）。

为什么要重开

仓库属主对 main 做了一次历史重写并 force push。#6 是 fork PR，重写后所有旧 SHA 失效、merge base 消失，GitHub 自动关闭了它，且无法 reopen。

这是我们这边的操作导致的，不是贡献者的问题。 代码原样搬过来，避免让 @AshSgDe29071999 重做一遍。

内容

lc doctor 读 docker/Dockerfile 的 ARG CODEX_VERSION，与 codex --version 比对，不一致时给 warning 并附对齐命令。零第三方依赖。

Closes #2

---

⚠️ 合并前请先看 #2 里已有的 review 意见（版本比对的宽松匹配会漏报、_local_codex_version 解析失败时的降级、以及 cmd_doctor 尚无 CI 覆盖）。

[github-actions]

Review 结论：可以合了，两处 review 意见我直接推到本分支修掉了（f4715b4）

先说结论：功能方向和实现手法都对——正则抓 ARG CODEX_VERSION、codex --version 比对、零第三方依赖，完全按 #2 的实现提示走。原作者 @AshSgDe29071999 的 commit 保持原样没动，我的修改是独立一个 commit 叠在上面，合并时会带上 Co-authored-by。

改了什么

1. 前缀匹配会漏报（原 bin/lc:617）

if local == pinned or local.startswith(pinned + ".") or pinned.startswith(local):

第三个分支 pinned.startswith(local) 是有问题的：_local_codex_version 的正则 (\d+\.\d+(?:\.\d+)?) 允许两段式，一旦 codex --version 只被抓到 0.14，"0.145.0".startswith("0.14") → True，会打出「一致」。而这个检查存在的全部意义就是防这种静默通过。

改成补零到三段后按整数元组比：

def parts(v):
    seg = re.findall(r"\d+", v)[:3]
    return tuple(int(x) for x in seg) + (0,) * (3 - len(seg))

0.145 == 0.145.0（确实是同一版本），0.14 != 0.145.0。

2. 解析失败时返回了非版本号文本（原 bin/lc:604）

return m.group(1) if m else out.strip().splitlines()[0][:40]

codex --version 输出格式变了、或者进了报错分支时，这里会把一段任意文本当版本号返回，然后进比对逻辑，打出「本机 Codex codex-cli (unknown build) 与 Dockerfile 锁定的 0.145.0 不一致」这种怪话。改成返回 None，交给你已经写好的降级分支。

顺带分了一下「没装」和「装了但版本读不出来」：codex 没装的时候，上面的 tool 检查已经报过 ❌ codex 未安装，不该再刷一条「无法读取本机 codex --version」。

顺带解决了「这段代码没有 CI 门禁」

我在 #2 里说过这个 PR 卡在「cmd_doctor 从来没被 CI 跑过」。这一条现在部分过时了——#7 引入的 scripts/test-doctor-probe.sh 已经在 CI 里真跑 lc doctor 了。但它不够：那个脚本只把 bin/ 和 scripts/ 复制进临时目录，临时目录里没有 docker/Dockerfile，所以 _dockerfile_codex_version() 直接返回 None，版本比对那几行一行都执行不到。

于是给它加了第 8 节：假 Dockerfile 钉 pin、PATH 里塞假 codex 钉本机版本，断言 6 种情形——

• 版本相同 → 判一致，且不误报「不一致」
• 版本不同 → 给 warning，且附带 npm i -g @openai/codex@0.145.0
• 0.14 vs 0.145.0 → 必须判不一致（钉死上面那个前缀匹配缺陷，回归就红）
• 0.145 vs 0.145.0 → 判一致
• 版本号解析不出来 → 降级提示，不拿文本去比对
• codex 没装 → 如实报告，不重复刷版本提示

scripts/ 不在 .github/ 下，我推得动，所以这个功能现在有了真实的运行时门禁，不需要你手工改 ci.yml。

验证

python3 -m py_compile bin/lc scripts/smoke.py scripts/probe.py、bash -n、bash scripts/test-doctor-probe.sh 全绿（8 节共 25 项）。另外在真实仓库根目录下核了 _dockerfile_codex_version() 返回 0.145.0。

CI：static + docker 均 SUCCESS（分支已 merge 了最新 main）。

按绿灯即合的约定合并，Closes #2。