需获xAI官方授权并配置JWT鉴权、路由映射与license token后，编译Rust网关并绑定内网IP启动，方可安全调用Grok API。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你需要在企业内网中部署一个私有网关，让内部服务能安全调用Grok大模型API，同时统一处理身份鉴权、请求限流和日志审计——不暴露真实API密钥，不绕过公司安全策略，所有流量必须经过可控入口。
准备运行环境与基础依赖
安装 Rust 1.75+（Grok官方网关基于 Tokio + Axum 构建，仅支持 Rust 编译）：执行 curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh，并确保 $HOME/.cargo/bin 已加入 $PATH。
克隆官方私有网关仓库：git clone https://github.com/xai-org/grok-private-gateway.git && cd grok-private-gateway。注意：该仓库仅对已签署 NDA 并获得白名单权限的企业开放，【未获 xAI 官方授权的 token 将无法通过启动时的 license 校验】。
安装 OpenSSL 开发头文件（Ubuntu/Debian）：sudo apt-get install libssl-dev pkg-config；CentOS/RHEL 请改用 yum install openssl-devel。
配置鉴权策略与密钥映射
编辑 config.yaml，在 auth 节点下启用 JWT 鉴权：
```yaml
auth:
enabled: true
jwt:
issuer: "corp-ai-gateway"
audience: "grok-api"
public_key_path: "./keys/jwks.json"
```
生成企业级 JWKS 密钥集：使用 openssl ecparam -name prime256v1 -genkey -noout -out private.pem 生成私钥，再用 openssl ec -in private.pem -pubout -out public.pem 提取公钥；最后将公钥转换为 JWKS 格式并保存为 ./keys/jwks.json——这一步不可跳过，网关启动时会校验该文件是否存在且格式合法。
在 routes 节点中定义内部服务到 Grok 模型的映射关系：
```yaml
routes:
- path: "/v1/chat/completions"
backend: "https://api.x.ai/v1/chat/completions"
allowed_scopes: ["grok:chat:read"]
api_key_header: "X-Grok-Internal-Key"
```
【每个 route 必须显式声明 allowed_scopes，否则默认拒绝所有请求】。
编译并启动网关服务
第一步：运行 cargo build --release 编译二进制文件，输出位于 target/release/grok-private-gateway。
第二步：设置环境变量，注入 xAI 分配的私有 license token：export GROK_LICENSE_TOKEN="lic_xxx-yyy-zzz"。该 token 由 xAI 安全团队单独签发，不能复用 OpenRouter 或其他平台的密钥。
第三步：加载配置并监听内网地址：./target/release/grok-private-gateway --config ./config.yaml --bind 10.10.20.5:8080。其中 10.10.20.5 是你内网 LB 后的真实网关服务器 IP，必须为私有地址段，禁止绑定 0.0.0.0 或公网接口。
第四步：验证服务健康状态，执行 curl -i http://10.10.20.5:8080/healthz，返回 HTTP 200 且 body 为 {"status":"ok"} 即表示网关已就绪。
