讓登入方式符合 terminal
互動工作站可使用 sign-in command。遠端或瀏覽器受限環境則明確要求 device-code authentication，再依畫面完成驗證流程。
不要在機器間複製 cached token。每個環境都應建立自己的登入狀態，才能分別撤銷。
grok login
# 遠端、SSH 或瀏覽器受限 terminal
grok login --device-auth只在適當位置使用 API key
Headless 環境可透過 XAI_API_KEY 認證。請由 CI secret store 或 process environment 注入；不要把值放進 AGENTS.md、project config、shell history、source code 或錄製的 transcript。
依環境與 owner 切分 key。下方命令刻意假設 secret manager 或 parent shell 已注入變數，複製的 command 不會含秘密值；若值外洩，立即輪替並檢查相關 log 與 artifact。
- 可用時優先選擇短效或窄範圍 access。
- 在 CI log 遮罩 XAI_API_KEY。
- 絕不把 key 暴露給 browser-side JavaScript。
# XAI_API_KEY 由 parent shell 或 secret manager 注入。
test -n "$XAI_API_KEY" && grok驗證、分離與撤銷
先啟動小型 session，確認作用中的 account 或 team 正確，再允許 repository tools。成功登入不代表可以存取所有檔案、network target 或正式環境操作。
交接機器或移除本機存取時要登出，並從環境清掉 process-level API key；若 key 已受影響，還要在 xAI console 作廢。
grok logout