yaoyao/docs/verification/2026-09-10-grok-auth

Grok Bot 浏览器登录授权

机器人电脑侧栏现在通过浏览器登录 Cursor 账号，使用 PKCE（SHA-256 challenge + 私有 verifier）和服务端轮询取得授权。无需在 Web、桌面端或 iOS 主界面粘贴访问令牌。官方登录说明：https://prod.cursor.com/help/grok-bot/sign-in 。

行为

• 授权请求绑定当前本地账号、授权版本和一次性会话；有效期 10 分钟。关闭页面或手机进入后台后，服务端继续轮询，重启后恢复尚未过期的请求。
• 提供继续授权、取消、手动检查、重新授权和断开连接。显示账号名称、邮箱、有效期与自动续期状态。
• PKCE verifier、access token 和 refresh token 均仅在服务端保存，使用工作区密钥加密；回给客户端的状态不含这些凭据。
• 访问凭据临近过期时合并并发续期，持久化轮换后的刷新令牌。临时网络/服务错误保留原有凭据并退避重试；明确撤销时要求重新登录，自动电脑模式不会静默改到其他环境。
• 取消、权限变更、断开和重新授权后，迟到的登录或续期结果不能恢复旧连接。重新授权须匹配原 Grok Bot 账号；切换账号前先断开。
• Grok Bot 上游拒绝与夭夭本地登录分开处理，不再把上游 401 转成客户端退出登录。协议版本更新错误也不删除已有凭据。
• 断开会删除当前服务器上的授权与账号占用记录；存在云端任务或人工接管时要求先结束操作。不会删除或重置云端虚拟机。
• 旧的服务器登录导入保留在兼容入口。只有 access token 的旧连接能继续使用，但需要浏览器重新授权才能自动续期。

验证

• 全量 Vitest：883 项通过，7 项按原配置跳过。其中 12 项专门覆盖 PKCE、归属、取消竞争、过期恢复、账号不匹配、轮换、临时错误和断开竞争。最后的原子提交调整又通过 20 项针对性测试。
• 实际 Web 页面端到端测试通过：打开授权页、取消重试、完成授权、刷新后保留账号、上游拒绝不退出夭夭、375px 深色模式和断开清理。授权提供方为完全隔离的 fixture。
• iOS 本地签名构建通过；34 项 WorkspaceChatTests 通过，授权界面端到端测试通过。
• 真实官方登录页面 HTTP 200；未确认会话的官方轮询返回预期 HTTP 404。使用原有有效访问凭据在临时数据库验证了官方账号接口，可读取名称和邮箱，未导出凭据或修改原 Grok Bot 登录。

隔离端到端测试不代表真实账号已通过新页面完成授权。实际首次使用仍需用户在官方浏览器页面完成登录与确认。截图只包含测试账号。