xAI SuperGrok OAuth 推理接口 403 permission-denied 可能的原因（经佬友们提醒进行了编辑，不一定是这个问题，只能说通过这个问题可以简单检测一下是不是号死了

古有茄子哭马，今有群友哭Grok

背景

佬友们好，新人第一次发帖，有对社区规范制度有些许没能注意到的还望佬友们见谅，主要还是想跟佬友们一起看看一下最近Grok拉闸的问题，大悲，老马离我们而去了。本文插图皆使用AI生成，部分数据重叠我是在没辙了，赶着时间发出来的。这个markdown格式文本写了半天，看了看社区准则感觉应该是这么发的吧，如果有没遵守的地方还望始皇手下留情（

是这样的，最近在折腾用 SuperGrok 订阅的 OAuth token 做反代，把订阅额度暴露成 OpenAI 兼容接口，结果今天中午一起床天塌了，一百多个号调推理接口全返回这个错：

{"code":"permission-denied","error":"Access to the chat endpoint is denied. Please ensure you're using the correct credentials. If you believe this is a mistake, please log into console.x.ai and update the permissions, or contact support."}

错误信息本身有误导性，我通过实测 token 完全合法，一开始我还给号清理了用Oauth重新试了试认证，也试了试登陆到grok build这个产品，也是403，绝望了有点。查了好多社区的帖子，看到佬友们在社区里对这个问题众说纷纭（IP 风控、端点选错、token 失效……），所以我通过不受限的GLM-5.2做了个三账户对照实验，应该是可能是这个问题（其实我自己的反代里上百个号我觉得抽三个出来应该能验证明白了，还好GLM-5.2没有什么道德底线，狠狠的逆向这一块

简单的说一下，查了下说xAI 后端对 OAuth 推理面维护一个内部 allowlist（应该没记错），会拒绝部分账户的请求，即使订阅 active、配额充足。这是xai_oauth_tier_denied，上游 xAI 行为，重新登录、刷新 token、换 IP 都改变不了 tier 决定。

hermes 官方文档对此的原文是：“re-login can’t change xAI’s tier decision”。

排查过程

这一路走错了几次，不过还好是GLM走错的没浪费我多少时间，记录下来给后来佬友们避坑，佬友们要是能逆向出解决方案就真是太好了。

端点可访问性对照

前三行（只读端点）三列全绿，后三行（推理端点 + api.x.ai 只读面）出现明显分水岭——tier=1 两列全红、tier=4 一列全绿。推理可用性完全由 tier 决定，与账户是否"用过"无关（账户B 全新零用量同样被拒）。

tier 与配额、推理可用性

tier=4 账户不仅推理可用，月配额（20000）也高于 tier=1 账户（15000），说明 tier 字段背后是真实的订阅权益分层，不是随意赋值。两个 tier=1 账户配额相同却都同样被推理 gate 拒绝——排除了"用量触达上限"的猜测。

验证社区方案：linux.do 改 base_url 走 grok build 额度

我也参考了佬友的帖子（topic 2561769）说改 base_url 从 api.x.ai/v1 到 cli-chat-proxy.grok.com/v1 + 加 grok-pager header 就能解决。我严格复刻测了：

base_url: https://cli-chat-proxy.grok.com/v1

User-Agent: grok-pager/0.2.93 grok-shell/0.2.93 (linux; x86_64)

X-XAI-Token-Auth: xai-grok-cli

x-grok-client-identifier: grok-pager

x-grok-client-version: 0.2.93

两个 tier=1 号照样 403。

仔细读那个帖子才发现，它解决的其实是另一个层级的问题——计费池选择。帖子里的佬友推理本来就通，他们只是在纠结扣哪个池子的额度（api 额度贵、grok build 共享额度便宜）。而 tier=1 被 gate 的号，卡在更早的推理权益校验那一步，根本到不了"扣哪个额度"的阶段。改 base_url 和 header 改变不了 JWT 里的 tier 字段，所以救不了。