如何在Keycloak中基于用户组或属性设置特定会话空闲超时？

核心解决方案：Authentication SPI扩展+会话属性自定义 #

受限于单Realm、单Client的架构约束，无法通过多Client配置差异化超时，可通过以下步骤实现按需控制：

1. 自定义Authenticator SPI实现 #

编写自定义Authenticator类，在用户认证完成后根据组/属性设置会话空闲超时：

• 重写authenticate方法，获取当前用户的组或属性信息
• 按预设规则映射超时时间，直接修改用户会话的空闲超时属性
• 代码示例：

@Override
public void authenticate(AuthenticationFlowContext context) {
    UserModel user = context.getUser();
    int idleTimeout = 600; // 默认10分钟（单位：秒）
    
    // 按用户组判断
    if (user.isMemberOf(context.getRealm().getGroupByName("admin"))) {
        idleTimeout = 1800; // 管理员组30分钟
    }
    // 或按用户属性判断
    String timeoutAttr = user.getFirstAttribute("session_idle_timeout");
    if (timeoutAttr != null) {
        idleTimeout = Integer.parseInt(timeoutAttr);
    }
    
    // 同步设置会话空闲超时与刷新令牌过期时间
    context.getSession().getUserSession().setIdleTimeout(idleTimeout);
    context.getAuthenticationSession().setRefreshTokenExpiration(idleTimeout + 300); // 额外5分钟缓冲
    context.success();
}

2. 配置认证流程 #

• 进入Keycloak控制台目标Realm的Authentication -> Flows
• 复制默认Browser流程，将自定义Authenticator添加到Username Password Form之后的节点
• 设置该节点为Required，确保每次认证都执行自定义逻辑

3. 轻量替代：Script Authenticator脚本实现 #

若不想编写Java SPI，可使用内置Script Authenticator快速实现：

• 在认证流程中添加Script Authenticator节点
• 编写Groovy脚本完成逻辑：

def user = context.getUser()
def realm = context.getRealm()
int idleTimeout = 600

if (user.isMemberOf(realm.getGroupByName("admin"))) {
    idleTimeout = 1800
}

context.getSession().getUserSession().setIdleTimeout(idleTimeout)
context.getAuthenticationSession().setRefreshTokenExpiration(idleTimeout + 300)
context.success()

原方案失效原因说明 #

• 令牌声明仅控制Access Token的exp字段，不影响Keycloak服务器端的会话空闲超时与Refresh Token生命周期
• 直接重写TokenManager或AuthenticationToken属于修改核心类，易受版本升级影响且官方不推荐
• 刷新令牌事件监听为异步执行，无法实时同步修改会话状态，导致控制逻辑失效

内容的提问来源于stack exchange，提问作者NoamWe