java - key 斗篷 : authenticating a Rest API written in JAVA

Question

我想针对 Keycloak 服务器 (KS) 验证 Rest 服务 (RS)。

RS 是通过应用程序(APP)而不是浏览器访问的。

到目前为止，我了解的操作方法如下:

1. APP 正在针对 KS 进行身份验证并获取 ACCESS_TOKEN。
2. APP 正在向 RS 发送请求，并以某种方式传递 ACCESS_TOKEN。
3. RS 正在提取 ACCESS_TOKEN 并对其进行验证/解码，以获取与用户相关的所需信息。

我很难找到正确的 JAVA API 来执行步骤 (3)。

到目前为止，我已经使用 TokenVerifier“验证”了 token (使用 KS 的 RSA 公钥进行设置)=> TokenVerifier.verify()。一旦验证，我将解析它以使用它进行解码。到目前为止一切顺利。

我想要实现的一个额外步骤是确保 ACCESS_TOKEN 在 KS 中仍然有效。但我没有找到任何用于此目的的 JAVA API。因此，我使用 ACCESS_TOKEN 向 UserInfo 端点发出常规 HTTP 请求。

有没有JAVA API可以检查ACCESS_TOKEN的有效性？

我在这种情况下做的事情正确吗？

Answer 1

您可以通过调用内省(introspection)端点来验证访问 token ，也可以使用 auth0 在本地验证它。图书馆。

更多信息请参见keycloak docs