背景

#3984 已在 OpenAI OAuth 请求的最终出站阶段自动配对 User-Agent、originator 和最低 version，解决身份错配问题。但现有 gateway.force_codex_cli 是全局静态配置，无法按账号灰度控制；部分部署需要只将特定 OAuth 账号固定为 Codex CLI 身份，同时让其他账号继续保留 codex-tui 等官方客户端身份。

方案

• 新增账号级 extra.force_codex_identity，默认关闭，仅对真实 OpenAI OAuth 账号生效。
• 开启后，在 native Responses、compact、passthrough 和 WebSocket 的终态身份收口前，将最终 User-Agent 固定为 Codex CLI；originator 配对和 version 校正继续复用 fix(openai): originator 与最终 User-Agent 首段配套收口，修复 codex 上游 404（#3901） #3984 的 enforceCodexIdentityHeaders。
• Spark 影子账号从母账号继承该策略，不在影子账号自身复制配置。
• API Key 与 setup-token 账号不受影响。
• Messages 兼容桥保持 fix(openai): originator 与最终 User-Agent 首段配套收口，修复 codex 上游 404（#3901） #3984 的最小化请求行为，不强制 User-Agent，也不新增 originator。
• 在账号新增和编辑界面提供开关，并补充中英文说明及状态机测试。

与 #3984 的关系

本 PR 不替换或回退 #3984。开关关闭时完全沿用 #3984 的自动身份配对；开关开启时只增加账号级的 Codex CLI User-Agent 覆盖，随后仍由 #3984 做统一终态校验。

兼容性

• 配置保存在现有 accounts.extra JSON 中，无需数据库迁移。
• 字段缺失等价于关闭，默认行为不变。
• 关闭开关时删除该键，不写入冗余的 false。

验证

• go test ./internal/service/...
• go test ./internal/pkg/openai/...
• golangci-lint run ./...
• Create/Edit Account Modal Vitest：35 个测试通过
• pnpm typecheck
• pnpm lint:check
• pnpm build
• 实际 OpenAI OAuth 账号在全局 force_codex_cli=false、账号开关开启时调用 gpt-5.6-luna 的 /v1/responses 返回 HTTP 200；该结果作为端到端行为验证，不等同于出站 header 抓包。