七秒、八张凭证：一次被拒的请求把 xAI 号池扣了三十分钟
xAI 一句「这个请求我不做」的 403，在 v8.0.53 里既不算请求过错又照旧参与重试，七秒钟就把八张 xAI 凭证逐张写进 30 分钟冷却——附今晚就能改的 oauth 规则写法与乘积算法。
没有新版本，不等于没有要处理的事。这段时间的动静全在 CLIProxyAPI：一条新开，一条等来答复并被关掉。
一条会把你的 xAI 号池一张张扣掉。另一条已经被判不做，但它给出的配置口径今晚就该落到你的反代部署上。
先给结论。在 v8.0.53 里，xAI 那种「这个请求我不做」的 403，既不算请求过错，又参与重试轮次。两个设定撞在一起，一条坏请求就足以打光整池。
一、七秒里换掉八张凭证
报障人的生产日志很干净。同一个 request ID
209dbef5，今天下午 16:53:53 到 16:54:00 连打八次。八次分别落在 account_A 到 account_H，是八张不同的 xAI OAuth 凭证。这条单 17:40 报上来，就在上一期发稿之后。5
八次拿回来的是同一个 403。
上游原文是
{"code":"permission-denied","error":"I'm sorry, I can't help with that request."}。七秒钟，八张号。
生产跑的是 v8.0.44 官方镜像。报障人又拿未改动的 v8.0.53 分类器在本地复现。
结果一样：
IsRequestFault(403, err) 返回 false。打完八张之后，冷却接口读回来的是这样一条：
{
"scope": "model",
"model_key": "grok-4.7",
"reason": "payment_required",
"retry_at": "2026-11-04T09:24:00.22785644Z",
"remaining_seconds": 543,
"http_status": 403
}remaining_seconds 只剩 543，说明这条冷却已经走过二十来分钟，还在计。5「30 分钟」不是传闻，是代码里写死的。
那句
payment_required 更容易误导人。它来自冷却展示层的分类函数：
case 402, 403: return "payment_required"。7
影响面要说清楚。八张号同时进冷却，grok-4.7 这一档在三十分钟内无号可调。
哪怕上游后台还显示这些账号有可用额度，本地已经把它们标成欠费。
二、403 为什么不算请求过错
IsRequestFault 是一长串短路判断，按顺序看就明白 403 落到了哪。402 和 429 直接返回 false；Claude 线程不存在、Devin 的权限拒绝返回 true。
Anthropic 余额不足、模型不存在返回 false。
最后那个 switch 只认 400、409、413、422，其余一律
default: return false。8
也就是说，xAI 的
permission-denied 没有任何一条判断能走到。被单独挑出来的那个 Devin 分支也盖不到它。
它要求 body 带
permission_denied（下划线），且命中「MCP 配置问题」或「内容策略拦截」两句固定文案之一。9grok 这句是
permission-denied（连字符），那两句文案也都不含。还有一道按 body 里 code 名判定的短路，名单九项，
permission-denied 不在其中。8这不是谁配错了，是当前版本的分类缺口。报障人自己在「期望行为」里写得很克制：只把这一种 refusal 认成请求过错，不要给所有 xAI 403 开绿灯。5
同一类问题不是第一次出现。Devin 那条路径靠 #7198 的
e25b7da 单独补过一次，把请求本身有问题的 403 从换号里摘出来。10xAI 这边还没有等价的补丁。
三、八次是怎么算出来的
报障人自己那份配置是
request-retry: 3、max-retry-credentials: 2。翻配置样例的解释就懂了。
request-retry 是「首轮把可用凭证用完之后，额外再来几轮」。注释里明写追加轮次适用于 403、408、429、500、502、503、504。403 本来就排在重试名单里。11
request-retry 管轮次、max-retry-credentials 管每轮最多试几张，两者相乘才是单条请求的伤害上限。11按注释字面算：(3+1) 轮，每轮 2 张，正好 8。与日志里 A 到 H 八张逐一吻合。
max-retry-credentials 的默认值是 0，意思是试遍所有可用凭证。这个默认配上
request-retry: 3，就是一条坏请求撞遍全池。所以真正决定伤害面的不是池子多大，是这两个数的乘积。池子只有八张号时，一条被拒的请求就够清场。
四、今晚能改的三处
1. 把这类 403 认成请求过错（首选）
oauth:
request-scoped-errors:
xai:
- status: 403
match:
- "permission-denied"
action: "stop"
规则要求状态码相等，并且 body 里包含
match 里的任意一条，匹配是区分大小写的子串比较。action: "stop" 的后果是确定的：这条请求立刻结束、不换号，错误码被标成 request_scoped。而
request_scoped 在冷却侧属于「必须跳过」的一类，模型级与凭证级冷却都不会写。14两个代价要自己掂量。规则对所有 xAI OAuth 凭证生效；一旦上游哪天用同一句文案表达别的事，也会被一起停下。
改完先拿一条已知会被拒的请求试一次，确认它停在原地、不再换号。
2. 把乘积压下来
把
max-retry-credentials 设成 1，或者在真实故障不多时把 request-retry 降到 1。八张号的池子，乘积压到 2，最坏情况就只损失两张。
代价也很实在：真遇到上游抽风时可选号变少，跨号成功率会下降。这一项是权衡，不是无脑调小。
max-retry-interval: 30 只管轮次之间最多等多久，跟次数无关，别指望它。3. 别靠 disable-cooling，也别等升级
disable-cooling 只是让本地不写冷却，并不阻止换号。冷却没了，下一轮还是那批号，撞得更密。11升级也不行。#7241 至今 open、零评论；这个仓库当前开放的 PR 编号最大到 7221，没有一张对应这条单。15
五、上一期那条管理封禁：等来答复，被判 not planned
上一期写过的 #7240（反代下管理认证共用回环地址、5 次失败封 30 分钟）今天 17:55（北京时间）等来维护者答复，并按 not planned 关闭。16
结论是：这不是要修的 bug，是要配的部署项。
第一句，先在
server.trusted-proxies 写全反代出口的 IP 或 CIDR；没配的时候，CPA 只认直连对端，不采信转发头。第二句，配好之后才按解析出的真实客户端 IP 各自计数、各自封禁。第三句，外部经反代管理面板，还要打开
management.allow-remote: true。16他也明确不加更详细的认证失败日志。理由是公网实例被自动化扫描很常见，有的报告到每秒上百次，加日志会放大 I/O。
这条得接受：以后排查这类封禁，只能靠反代自己的 access log。
配置样例里
trusted-proxies 默认是空列表，注释也写明改完要重启。17这三项有没有写对，决定下一次认证失败是只封一个人，还是又一次把面板和采集一起封掉。
六、其余读数与上期续
上游这段时间是安静的。OpenAI 状态页最近一条事件是文件上传错误，已于 11-03 恢复。18
Anthropic 今天没有事件。19
GCP 的最新更新停在 10-28。20
Codex 这边的重置追踪今日 UTC 仍无重置。最近一次已验证的全局重置停在 10-28 06:35Z，累计 61 次、10 次 banked。21
上期那两条（sub2api #8513 的 WS 429 重放、#8514 的 Pie 会话头缺失）都还是 open、零回复，本期不重复展开。
一句话收尾：先加那条
oauth.request-scoped-errors 的 xai 规则，再看乘积，最后核对 trusted-proxies。三件事都不需要等新版本。
References
- 1Releases · router-for-me/CLIProxyAPI
github.com
- 2Releases · Wei-Shaw/sub2api
github.com
- 3Releases · icebear0828/codex-proxy
github.com
- 4Releases · james-6-23/codex2api
github.com
- 5
- 6
- 7cooldown_view.go·v8.0.53 L125-L150
github.com
- 8client_error.go·v8.0.53 L17-L148
github.com
- 9
- 10commit e25b7da
github.com
- 11config.example.yaml·v8.0.53 L207-L222
github.com
- 12config.example.yaml·v8.0.53 OAuth 请求过错规则
github.com
- 13
- 14
- 15
- 16#7240 维护者答复与关单
github.com
- 17config.example.yaml·v8.0.53 L52-L58
github.com
- 18OpenAI Status incidents.json
status.openai.com
- 19Anthropic Status incidents.json
status.anthropic.com
- 20Google Cloud incidents.json
status.cloud.google.com
- 21codex-reset
codex-reset.com
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.