oauth-2.0 - 如何减少 Keycloak 中访问/刷新 token 的大小？

Question

我正在设置一个 keycloack 身份验证服务器，以允许授权用户访问 protected 资源 (OAuth2.0)。

访问将通过具有某些限制的嵌入式设备完成。主要限制是访问和刷新 token 如果超过 256 个字符则无法保存。

虽然在 The OAuth 2.0 Authorization Framework 中对 token 大小保持沉默，但所有身份提供者都可以自由决定 token 大小。比如Facebook的token小于256字节，谷歌也是一样。但是对于 keycloack，我得到了一个大约 850 字节的 token !我已经尝试了管理控制台中可用的几种加密算法，但我仍然得到一个很大的 jwt token 。
解码 jwt 给出以下内容:

{
  "jti": "d654564qsd-5fqsdf5-4qsdf-8b25qs-b556456",
  "exp": 1556284611,
  "nbf": 0,
  "iat": 1556270211,
  "iss": "http://myadress:myport/auth/realms/myrealm",
  "aud": "myapp",
  "sub": "45464-445645-4b45641e-456456-45645646",
  "typ": "Bearer",
  "azp": "myapp",
  "auth_time": 1556269490,
  "session_state": "cb95519c-0bf8-4b6b-94e4-a10d9000dbd2",
  "acr": "0",
  "allowed-origins": [],
  "realm_access": {
    "roles": [
      "user"
    ]
  },
  "resource_access": {},
  "scope": "readwrite"
}

我实际上对 token 中的数据根本不感兴趣，我也没有解析它。我只需要 token 就可以访问资源。
因此，有没有办法将 token 的大小减少到小于 256？如果不是，我能得到的最好结果是什么？

先感谢您

Answer 1

token 大小的一方面是角色。如果您不需要角色在 token 中，因为您不关心角色或者您以不同方式查询角色(通过管理 api 直接访问)，则使用客户端范围删除不必要的角色。我知道这可能不是你想听到的，但它可能会帮助一些人将他们的 token 低于 1MB ;)
提示:您不需要创建“客户端范围”。足以在客户端配置选项卡中启用特定范围并将其留空:Keycloak Amdmin UI > Client > Tab: Scope > Disable: Full Scope Allowed