Spring Boot集成Keycloak与Spring Cloud Gateway生成长期PAT遇阻

1. 调整Keycloak令牌寿命配置 #

Keycloak默认的短寿命JWT是因为客户端/领域的令牌时长设置没改，直接在控制台调整：

• 进入目标客户端的「Settings」标签页，找到「Access Token Lifespan」，把值改成6个月对应的秒数（比如15552000，计算方式：63024*3600）
• 要是想全局生效，去「Realm Settings」→「Tokens」里修改，客户端配置会覆盖全局设置

2. 使用正确的PAT生成方式 #

别用普通的授权码/密码模式端点，改用Keycloak专属的PAT生成逻辑：

• 用户级PAT生成：调用POST /realms/{realm-name}/protocol/openid-connect/token，请求参数必须包含：
  • grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
  • assertion：用户的短期JWT令牌
  • client_id和client_secret（保密客户端需要）
  • 可选加scope=offline_access获取刷新令牌
• 管理API直接生成：通过管理员令牌调用接口创建长期会话：

  curl -X POST \
    http://keycloak-host:8080/admin/realms/{realm-name}/users/{user-id}/offline-sessions \
    -H "Authorization: Bearer {admin-token}" \
    -H "Content-Type: application/json" \
    -d '{"clientId": "{client-id}", "lifespan": 15552000}'
  

3. 检查客户端权限配置 #

• 确保客户端访问类型是「confidential」或「public」，按需开启「Direct Access Grants Enabled」
• 在客户端的「Client Scopes」标签页添加offline_access作用域，确保有权限生成长期令牌

4. 验证令牌有效期 #

拿到令牌后用本地工具解析检查exp字段，确认过期时间：

jwt decode {your-token}

如果还是短寿命，回头检查配置是否保存生效，或者端点参数有没有传错

5. Spring Cloud Gateway适配 #

网关不要硬编码过期时间校验，直接解析JWT的exp字段验证：
示例配置（application.yml）：

spring:
  cloud:
    gateway:
      routes:
        - id: auth-service-route
          uri: lb://your-spring-boot-app
          predicates:
            - Path=/api/**
          filters:
            - TokenRelay=
            - JwtAuthenticationFilter=

内容的提问来源于stack exchange，提问作者Sahil Mishra