Android接入Spring OAuth2网关：如何保持会话而非获取Token？

核心思路：Android端复用会话模式的可行性与替代方案 #

1. 直接保持会话的局限性 #

Android是原生客户端，和Web浏览器的会话机制（依赖Cookie+Session）本来就不兼容：

• Web的会话靠浏览器自动维护Cookie（比如JSESSIONID），但Android原生请求默认不会自动保留Cookie上下文，得手动实现Cookie持久化，每次请求还要主动携带，跨域场景下还会碰到Keycloak的SameSite策略限制。
• Keycloak的授权码流是针对Web浏览器优化的，原生客户端硬套会话模式会绕开OAuth2的安全设计，反而提升会话劫持这类安全风险的概率。

2. 基于现有网关配置的适配方案 #

你的网关已经配置了授权码流，其实可以调整适配Android端，同时让网关继续维护会话，不用Android端直接持有Token：

• 修改Keycloak客户端配置：在Keycloak后台把gateway-client的客户端类型改为public（Android是原生客户端，无法安全存储client-secret），同时添加Android端的重定向URI（比如com.your.app://oauth2callback）。
• Android端实现授权跳转：用Android的CustomTabsIntent打开Keycloak的登录页面，登录成功后通过重定向URI获取授权码，再把授权码传给网关的/login/oauth2/code/gateway-client端点。
• 网关维护会话：网关收到授权码后自动完成Token交换，然后给Android端返回会话Cookie（比如JSESSIONID），后续Android请求时手动携带这个Cookie，网关就会像处理Web请求一样验证会话，无需Android端存储Token。

3. AuthenticationManager的适用场景 #

如果不想用OAuth2授权码流，想自定义会话逻辑，可以通过AuthenticationManager扩展，但不推荐这么做：

• 需要在网关自定义认证过滤器，接收Android端的登录凭证（比如用户名密码），调用Keycloak的token端点获取Token，再手动创建会话并存入Spring Session。
• 这种方式跳过了OAuth2的标准流程，会话过期、刷新等逻辑都得自己实现，维护成本高，也不符合IAM的最佳实践。

网关配置调整建议 #

针对Android端适配，修改application.yaml如下：

spring:
  application:
    name: api-gateway
  security:
    oauth2:
      client:
        provider:
          keycloak:
            issuer-uri: ${ISSUER_URI:http://keycloak:8080/realms/crm}
        registration:
          gateway-client:
            provider: keycloak
            client-id: ${CLIENT_ID}
            # 改为public客户端，移除client-secret
            client-authentication-method: none
            scope:
              - openid
              - offline_access
            authorization-grant-type: authorization_code
            # 添加Android端的重定向URI，用逗号分隔
            redirect-uri: >-
              ${REDIRECT_URI:http://localhost:8080/login/oauth2/code/gateway-client},
              com.your.app://oauth2callback

关键注意事项 #

• Android端要把网关返回的JSESSIONID持久化存储（比如用CookieManager），每次请求都在Header中携带Cookie: JSESSIONID=xxx。
• 确保Keycloak后台允许该客户端的新重定向URI，若需要用户名密码登录的备选方案，记得开启Direct Access Grants Enabled。

内容的提问来源于stack exchange，提问作者Brendon Mendicino