为何特定Keycloak客户端无法将JWT过期时间延长至1天以上？

核心原因 #

你的问题本质是Realm级别的Token生命周期限制覆盖了客户端的自定义设置，或者你可能配置了错误的超时项。以下是具体原因：

1. Realm全局Token上限限制 #

Keycloak的Realm配置中存在默认的Access Token生命周期上限，客户端的自定义设置不能超过这个值。如果你的Realm默认设置为1天（86400秒），即使客户端设置365天，最终token的过期时间也会被Realm的上限覆盖。

2. 客户端配置项选错 #

你可能修改了客户端的Session超时（如Session Idle或Session Max），而非针对client_credentials模式的Access Token超时项。这类模式的token有效期由专门的Access Token Lifespan配置控制。

3. 配置未正确保存或缓存未刷新 #

修改配置后未点击保存，或者Keycloak的缓存未及时更新，导致新配置未生效。

解决步骤 #

步骤1：调整Realm全局Token上限 #

1. 登录Keycloak管理控制台，进入目标Realm（users）
2. 切换到Tokens标签页
3. 修改Access Token Lifespan为31536000秒（365天），点击保存

步骤2：配置客户端的Access Token生命周期 #

1. 进入目标客户端（api-long-lived）
2. 切换到Advanced标签，展开Fine Grain OpenID Connect Configuration
3. 找到Access Token Lifespan，设置为31536000秒，点击保存

步骤3：验证配置生效 #

重新执行你的测试命令获取token，解码后检查exp字段，确认过期时间是否为365天后。

安全提示 #

虽然技术上可以设置超长有效期的token，但从安全角度强烈不推荐——一旦token泄露，攻击者可长期访问你的API。建议采用更安全的方案：

• 使用更短的token有效期，搭配refresh token定期刷新
• 启用Keycloak的token revocation机制，便于在需要时失效token

内容的提问来源于stack exchange，提问作者Ross Rogers