Keycloak SSO会话空闲时间与Spring Session超时的关联疑问

你的理解部分正确，需明确两个超时配置的作用边界：

1. 两个超时配置的核心区别 #

• Spring Session Timeout：完全控制应用侧（Spring Gateway/Spring Boot）存储在Redis中的用户会话生命周期。这个会话保存着用户登录后应用侧的认证上下文（如OAuth2访问令牌、用户信息等）。当该超时触发时，应用侧丢失用户认证状态，会重定向到Keycloak请求重新认证。
• Keycloak SSO Session Idle Time：控制Keycloak服务端的全局SSO会话空闲超时。这个会话是Keycloak记录的用户全局登录状态，与应用侧会话相互独立。只有当Keycloak的SSO会话超时后，用户再认证时才需重新输入账号密码；若SSO会话仍存活，即便应用侧会话过期，也会自动完成认证并返回新令牌。

2. 你的场景分析 #

用户闲置30分钟后访问端点，出现「重定向到Keycloak自动登录再返回」的现象，说明：

• Spring Session已过期（Redis中会话TTL耗尽），应用侧丢失认证状态，因此触发重定向到Keycloak；
• Keycloak的SSO Session未过期，Keycloak直接识别用户身份，自动完成认证流程，无需用户手动输入密码。

所以你感知到的「30分钟超时」确实由Spring Session Timeout控制——Keycloak的空闲超时未生效，是因为它的阈值比Spring Session的30分钟更长，尚未触发。

3. 如何让Keycloak的空闲超时生效 #

若希望用户闲置指定时间后必须重新输入密码（而非自动登录），需：

• 将Keycloak的SSO Session Idle Time设置为短于或等于Spring Session Timeout；
• 确保Spring Security OAuth2客户端配置中，未开启无限制的令牌自动刷新（避免应用侧通过刷新令牌绕过Keycloak的会话检查）。

举个例子：把Keycloak的空闲超时设为20分钟，Spring Session超时设为30分钟。用户闲置25分钟后发起请求，此时Spring Session未过期，但应用侧去Keycloak验证令牌时，会发现Keycloak的SSO会话已因空闲超时失效，这时会强制用户重新输入密码登录。

内容的提问来源于stack exchange，提问作者zhfkt