Keycloak会话已关闭但访问令牌仍未过期问题求助

1. 启用令牌撤销机制 #

Keycloak默认未开启令牌撤销功能，需先在客户端配置中开启：

• 登录Keycloak控制台，进入目标Realm的「Clients」页面，选择你的Spring应用客户端
• 切换到「Settings」标签，确保「Access Type」设为confidential，勾选「Allow Token Revocation」并保存
• 在Spring应用的注销逻辑中，调用Keycloak的令牌撤销接口，主动作废未过期的访问令牌：

// 示例：用RestTemplate调用撤销接口
String revokeUrl = "http://your-keycloak-host/realms/your-realm/protocol/openid-connect/revoke";
MultiValueMap<String, String> params = new LinkedMultiValueMap<>();
params.add("token", accessToken);
params.add("token_type_hint", "access_token");
params.add("client_id", "your-spring-client-id");
params.add("client_secret", "your-spring-client-secret");

restTemplate.postForObject(revokeUrl, params, Void.class);

2. 配置令牌内省实时验证 #

每次请求时通过Keycloak的内省接口检查令牌有效性（即使未过期，也能识别已注销的令牌）：

• 在Spring Security配置中启用Opaque Token验证，指向Keycloak的内省端点：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .oauth2ResourceServer(oauth2 -> oauth2
                .opaqueToken(token -> token
                    .introspectionUri("http://your-keycloak-host/realms/your-realm/protocol/openid-connect/token/introspect")
                    .clientId("your-spring-client-id")
                    .clientSecret("your-spring-client-secret")
                )
            );
        return http.build();
    }
}

• 该方案会在每次请求时调用Keycloak接口验证令牌状态，确保注销后的令牌无法继续使用。

3. 缩短访问令牌有效期（临时缓解） #

如果暂时无法实现上述方案，可通过缩短令牌有效期降低安全风险：

• 在Keycloak客户端的「Settings」标签中，找到「Access Token Lifetime」，设置为较短时间（如5分钟）
• 注意：这只是缓解手段，无法彻底解决注销后令牌仍有效的问题，仅能缩小风险窗口。

4. 确保注销流程双向同步 #

保证Spring应用与Keycloak的会话注销完全同步：

• 在Spring Security的注销配置中，指定Keycloak的注销端点，确保注销时通知Keycloak终止对应会话：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .logout(logout -> logout
                .logoutSuccessUrl("http://your-keycloak-host/realms/your-realm/protocol/openid-connect/logout?redirect_uri=http://your-spring-app-url/logout-success")
                .invalidateHttpSession(true)
                .deleteCookies("JSESSIONID")
            );
        return http.build();
    }
}

• 此配置会在用户注销Spring应用时，同时触发Keycloak的会话注销，避免令牌与会话状态不一致。

内容的提问来源于stack exchange，提问作者Rajeshwaran Kurunathan