node.js - 撤销 Keycloak 访问 token

Question

我正在使用 Keycloak 来保护我的 react 前端和 node.js 后端。这些客户端使用基于角色的授权进行保护。

我的前端应用程序在 Keycloak 中注册为公共(public)客户端，后端注册为仅承载客户端。当用户登录到前端时，我正在获取该特定用户的访问 token ，并且我正在使用该访问 token 来调用后端 api 层。

当用户从前端注销时，我正在使用 keycloak 对象注销方法从 Keycloak 清除该特定用户的前端客户端 session 。这工作正常，用户正在注销并重定向到 Keycloak 登录页面。

但问题是我仍然可以使用该注销用户的访问 token 来调用后端 api。即使用户注销，访问 token 仍然有效。

我试过这个端点来撤销用户访问 token 。但是没有用
/auth/admin/realms//用户/

有没有办法撤销 Keycloak 中特定用户的访问 token ？

Answer 1

我认为您只能撤销 session 但不能发布访问 token 。所以唯一的解决办法就是选择很短的访问 token 生命周期结合静默刷新，这样可用性还是不错的， session 撤销后的最大访问时间等于或小于 token 生命周期。

编辑:有一个 official guide about how to handle compromised tokens .他们没有提到如何撤销个人访问 token ，因此没有记录的方法可以这样做。但是，您可以通过所描述的“not_before”方式撤销所有已发布的访问 key 。