Ktor HttpClient遇401时未触发refreshTokens问题求助

核心问题分析 #

1. sendWithoutRequest判断逻辑完全错误，导致Bearer认证的令牌发送规则失效
2. 401响应未触发刷新：默认情况下Bearer插件仅识别带WWW-Authenticate: Bearer头的401，若Keycloak返回的401无此头则不会触发刷新
3. TokenStorage用可变列表存储令牌，存在线程安全隐患且管理冗余
4. 直接调用body<List<FooDTO>>()会在401时因响应体不匹配抛出反序列化异常，掩盖认证问题

分步修复方案 #

1. 修正sendWithoutRequest的判断逻辑 #

原代码用request.url.host与完整路径比较，永远不匹配，导致所有请求（包括token请求）都携带令牌，干扰插件正常逻辑。修改为仅对token端点跳过令牌发送：

// DIModules.kt - Bearer配置部分
sendWithoutRequest { request ->
    val tokenEndpoint = "${prefs.siteURL}${prefs.authRoute}/token"
    request.url.toString() == tokenEndpoint
}

2. 强制配置401触发刷新的条件 #

若Keycloak返回的401未携带WWW-Authenticate头，手动指定刷新触发规则：

// DIModules.kt - Bearer配置部分
refreshTokensIf { response ->
    response.status == HttpStatusCode.Unauthorized
}

3. 优化TokenStorage的令牌管理 #

将冗余的可变列表改为存储单个当前有效令牌，避免线程安全问题：

// TokenStorage.kt
object TokenStorage {
    @Volatile
    private var currentTokens: BearerTokens? = null

    fun setTokens(tokens: BearerTokens) {
        currentTokens = tokens
    }

    fun getTokens(): BearerTokens? = currentTokens
}

同步更新ApiClient的登录方法：

// ApiClient.kt - authenticate方法
TokenStorage.setTokens(BearerTokens(res.accessToken, res.refreshToken ?: ""))

同步更新DIModules.kt的loadTokens逻辑：

// DIModules.kt - Bearer配置部分
loadTokens {
    TokenStorage.getTokens()
}

4. 修复refreshTokens中的空指针风险 #

原代码中oldTokens?.refreshToken!!可能抛出NPE，修改为安全处理：

// DIModules.kt - refreshTokens部分
refreshTokens {
    val oldRefreshToken = oldTokens?.refreshToken ?: throw IllegalStateException("No refresh token available")
    val refreshTokenInfo: TokenInfo = client.submitForm(
        url = "${prefs.siteURL}${prefs.authRoute}/token",
        formParameters = parameters {
            append("grant_type", "refresh_token")
            append("client_id", prefs.clientId!!)
            append("refresh_token", oldRefreshToken)
        }
    ) { markAsRefreshTokenRequest() }.body()

    val newTokens = BearerTokens(
        accessToken = refreshTokenInfo.accessToken,
        refreshToken = refreshTokenInfo.refreshToken ?: oldRefreshToken
    )
    TokenStorage.setTokens(newTokens)
    newTokens
}

5. 避免反序列化异常 #

在fetchFoo()中先校验响应状态，仅成功时执行反序列化：

// ApiClient.kt - fetchFoo方法
suspend fun fetchFoo(): List<FooDTO> {
    val response = httpClient.get("${prefs.siteURL}/fooendpoint")
    return if (response.status.isSuccess()) {
        response.body()
    } else {
        throw HttpClientException("Request failed with status: ${response.status.value}")
    }
}

验证步骤 #

1. 登录后等待access token过期（300秒）
2. 调用fetchFoo()，观察是否自动触发refreshTokens逻辑
3. 检查刷新后的access token是否被正确使用，请求是否成功

内容的提问来源于stack exchange，提问作者hbarnett91