Keycloak公客户端跨客户端令牌交换报“Invalid token”求助

问题背景 #

从公客户端app获取用户access token后，尝试通过Keycloak令牌交换为同一用户的机密客户端bridge获取令牌，请求始终返回Invalid token。请求命令如下：

curl --location 'https://example.com/keycloak/realms/test/protocol/openid-connect/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'grant_type=urn:ietf:params:oauth:grant-type:token-exchange' \
--data-urlencode 'subject_token=<app token>' \
--data-urlencode 'requested_token_type=urn:ietf:params:oauth:token-type:access_token' \
--data-urlencode 'audience=bridge' \
--data-urlencode 'client_id=app'

对Keycloak文档中“public clients are not allowed to perform token exchanges using tokens from other clients”的表述存在疑问，且目标是获取权限更低的令牌，已尝试将bridge添加到app令牌的audience字段但无效。

文档表述解读 #

这句话的准确含义是：公客户端完全无法发起针对其他客户端的令牌交换请求。不管使用的是自身还是其他客户端的令牌，只要目标是获取另一个客户端的令牌，Keycloak都会拒绝——因为公客户端没有客户端密钥，无法完成身份验证，存在安全风险。

当前请求失败原因 #

你的请求属于公客户端app尝试获取另一个客户端bridge的令牌，直接违反了Keycloak的安全限制，因此返回Invalid token（错误信息存在一定误导性，本质是权限不足）。

权限降级解决方案 #

如果目标是获取权限更低的令牌，可采用以下方案：

1. 直接限制公客户端app的初始令牌权限 #

• 精细角色分配：在Keycloak控制台中，只为app客户端分配用户所需的最小角色，避免给用户全量角色权限。这样从app获取的初始令牌本身就是低权限的，无需交换。
• 使用scope参数：请求app的access token时，通过scope参数指定仅需的权限范围，例如：

  curl --location 'https://example.com/keycloak/realms/test/protocol/openid-connect/token' \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode 'grant_type=password' \
  --data-urlencode 'client_id=app' \
  --data-urlencode 'username=<user>' \
  --data-urlencode 'password=<pwd>' \
  --data-urlencode 'scope=openid bridge:limited-read'
  

  前提是bridge客户端已定义对应的受限角色，并授权给用户。

2. 通过可信机密客户端中转令牌交换 #

• 部署一个可信的机密客户端（例如专用令牌转换服务），让公客户端app将用户令牌发送给该服务；
• 由这个机密客户端发起令牌交换请求，获取bridge的低权限令牌；
• 该机密客户端需要在Keycloak中开启令牌交换权限，并且要验证app令牌的合法性（如检查sub、aud、exp等字段）。

3. 不推荐：临时修改客户端类型 #

• 临时将app改为机密客户端，设置客户端密钥，完成令牌交换后再改回公客户端。此方法违反公客户端的设计初衷，存在安全风险，仅用于临时测试。

内容的提问来源于stack exchange，提问作者Splitframe