必须配置IP白名单并实施密钥轮替：先在.env中设置GROK_IP_WHITELIST和GROK_IP_FILTER_STRICT，再创建带描述的密钥并绑定IP范围，最后按激活备用密钥→更新客户端→废止旧密钥三步完成轮替。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你需要防止Grok API密钥被未授权IP滥用，同时避免因密钥长期不变导致的泄露风险。直接在代码里硬编码密钥、不设访问来源限制、从未轮换过密钥——这三类操作在2026年已成高危行为，78%的API入侵事件由此引发。
配置Grok服务端IP白名单
这一步必须在密钥生成前完成，否则白名单规则对已发出的请求无效。Grok官方不提供Web界面配置入口，需通过环境变量注入实现网络层拦截。
打开部署目录下的.env文件，在末尾新增两行：
【GROK_IP_WHITELIST=203.0.113.45,192.168.50.0/24】
【GROK_IP_FILTER_STRICT=true】
第一行填入你实际调用方的公网IP或内网网段，多个地址用英文逗号分隔；第二行启用严格模式后，所有未列明的IP将收到403响应而非超时。注意：若使用云函数或CDN回源，需填写其真实出口IP，而非你本地机器IP。
保存后执行docker-compose restart api重启服务容器，使白名单立即生效。
生成带有效期的Grok API密钥
密钥本身不支持服务端设置过期时间，必须依赖客户端主动轮替。因此第一步是生成一个可追踪、易废止的密钥。
登录Grok控制台 → 进入“Security” → 点击“Create New Key” → 在描述栏填写明确用途，例如"prod-analytics-2026-q3"。
勾选“Enable key rotation”选项，系统将自动生成两个密钥字段：【primary_key】（当前生效）和【secondary_key】（备用，初始为空）。
复制primary_key值，立即存入密码管理器并标注创建日期。此时密钥尚未绑定任何IP白名单，后续必须手动关联。
绑定密钥与白名单IP范围
密钥与IP白名单是解耦配置，需在密钥创建后单独绑定，否则白名单规则对密钥无效。
方法一：通过API绑定（推荐）
调用Grok密钥管理接口：POST /v1/keys/{key_id}/whitelist
请求体为JSON格式：
{"ip_ranges": ["203.0.113.45/32", "192.168.50.0/24"]}
响应成功后返回201 Created，表示该密钥仅允许从指定IP段发起调用。
方法二：通过CLI工具绑定
运行命令：grok-cli key bind --key-id k_abc123 --ip-ranges 203.0.113.45/32,192.168.50.0/24
绑定失败时检查key_id是否拼写错误，且确认该密钥处于active状态。
实施密钥自动轮替
轮替不是简单替换密钥，而是双密钥平滑切换过程。必须按顺序执行以下三步，跳过任一环节将导致服务中断。
第一步：激活备用密钥
调用PUT /v1/keys/{key_id}/rotate，请求体中设置{"action": "activate_secondary"}。此时secondary_key变为primary_key，原primary_key降级为secondary_key。
第二步：更新客户端配置
将新primary_key写入生产环境的.env文件，覆盖旧值。确保所有调用服务（包括批处理脚本、定时任务）同步更新。
第三步：废止旧密钥
等待72小时无错误日志后，调用DELETE /v1/keys/{old_key_id}彻底删除已下线的密钥。此操作不可逆，执行前务必确认监控平台无相关调用失败告警。
