Keycloak session 和 token 超时 : Client login timeout

Question

我们目前正在验证我们的 Keycloak session 和 token 超时设置以排除潜在的错误。我认为默认配置应该适用于我们的用例。

我认为唯一令人担忧的值是我们已将其设置为 1 分钟的“客户端登录超时”(如文档的屏幕截图所示)。文档 here状态:客户端登录是客户端必须在 OIDC 中完成授权代码流的最长时间。

我读过它，但我不明白...我猜文档副本是从 redhat 文档中粘贴的 here (反之亦然)但那里也没有详细的解释。

所以我的问题实际上是:什么是“客户端登录超时”以及它的默认值是什么？对我来说，一个完美的答案就是在失败时从用户的角度描述工作流程(比如用户在点击电子邮件验证链接之前喝了 1 分钟咖啡等)和/或进一步阅读的链接

Answer 1

简单来说就是客户端获取Access Token所花费的时间。

这是客户端完成授权码流程的最长时间。授权代码流程中涉及的步骤可以在 OIDC 规范中找到。

https://openid.net/specs/openid-connect-core-1_0.html#CodeFlowSteps

1. 客户端准备包含所需请求参数的身份验证请求。
2. 客户端向授权服务器发送请求。
3. 授权服务器对最终用户进行身份验证。
4. 授权服务器获得最终用户同意/授权。
5. 授权服务器将最终用户与授权码一起发送回客户端。
6. 客户端在 token 端点使用授权码请求响应。
7. 客户端收到响应正文中包含 ID token 和访问 token 的响应。
8. 客户端验证 ID token 并检索最终用户的主题标识符。