Grok Build CLI：安装、登录与安全边界#

Grok Build 接入 Agent runtime 之前，先把 CLI、登录态和凭据边界弄清楚。否则后面 ACP、Docker、CommHub 都可能只是“本机能跑一次”，一换机器就失效。

0. 一句话先讲明白#

Grok Build runtime 的第一步不是写 adapter，而是确认 grok CLI 在当前机器和容器里都能非交互运行。当前课程的 ACP fixture 仍以 2026-05-26 实测的 grok 0.1.219 (c9b7cdec2) 为准；本机当前 CLI 为 grok 0.2.29 (7c14ec552)（2026-06-10 实测）。正式执行前以本机 grok --version 输出为准。认证上优先使用 XAI_API_KEY，GROK_CODE_XAI_API_KEY 作为兼容写法；两种方式都要避免把 token 写进镜像、仓库、日志和课程示例。

你将学到#

• 如何确认本机 grok CLI 版本
• 登录缓存和 XAI_API_KEY / GROK_CODE_XAI_API_KEY 两种 auth mode 的取舍
• Docker host auth 只读挂载怎么做
• 哪些文件不能复制进镜像或提交到 Git
• Grok Build 权限模式、自动批准和 danger 模式怎么安全演示
• runtime 环境变量应该怎么传，怎么做 secret scan
• 上线前 auth checklist 怎么写

适合谁#

准备把 Grok Build 接到 Agent 小队里的工程师。你应该已经能读懂 shell、Docker bind mount、环境变量和最基本的 token 泄漏风险。