Spring Boot中使用Keycloak V24生成新令牌时如何自动吊销旧令牌？

1. 主动撤销旧令牌 #

Keycloak默认不会自动作废旧令牌，需主动触发撤销操作：

• 调用令牌撤销端点：POST /realms/{realm}/protocol/openid-connect/revoke
• 请求参数需包含：token=旧刷新令牌&client_id=你的客户端ID&client_secret=你的客户端密钥
  执行后旧刷新令牌会被标记无效，依赖它生成的访问令牌在下次校验时会被Keycloak拒绝。

2. 调整令牌与会话生命周期配置 #

• 缩短访问令牌有效期：在客户端配置的Advanced Settings中，把Access Token Lifespan设为较短值（比如5分钟），让旧令牌更快自然过期。
• 启用会话固定保护：在Realm的Security Defenses→Session Fixation里勾选Enable Session Fixation Protection，确保新登录生成的会话会让旧会话关联的令牌失效。

3. 修复会话数量限制配置 #

之前的会话限制可能未生效，需检查以下几点：

• 确认配置层级：是在Realm级别还是目标客户端级别设置的会话限制，确保对应客户端已启用该规则。
• 把Maximum Sessions设为1，这样新登录会直接踢掉旧会话，旧会话绑定的令牌同步失效。
• 集群环境下开启会话同步：保证所有节点的会话状态一致，避免部分节点仍认可旧令牌。

4. 强制生成全新会话 #

在获取新令牌前，除了登出，还可以：

• 调用登出端点时带上旧refresh_token，彻底销毁旧会话：POST /realms/{realm}/protocol/openid-connect/logout
• 登录请求添加prompt=login参数，强制Keycloak创建全新会话，完全忽略现有会话关联的令牌。

内容的提问来源于stack exchange，提问作者manu