关于Keycloak登录后会话数据存储及禁用Cookie场景的咨询

1. 会话数据的存储位置 #

Keycloak核心会话数据默认存储在Cookie中，而非localStorage或sessionStorage。只有在特定场景下（比如SPA应用的静默token刷新、或自定义客户端配置），部分辅助性的token数据（如refresh token、access token）可能会暂存到sessionStorage或localStorage里，但用于维持登录会话的核心标识始终依赖Cookie。

2. 会话相关的Cookie名称 #

Keycloak默认使用以下几个Cookie键（会根据你的Realm名称添加后缀，比如Realm名为my-realm时，Cookie名会是KEYCLOAK_SESSION-my-realm）：

• KEYCLOAK_SESSION：存储核心会话的标识与状态信息
• KEYCLOAK_IDENTITY：存储用户身份的加密信息
• AUTH_SESSION_ID：部分场景下用于跨域会话关联的标识

3. 用户禁用Cookie后的影响 #

根据不同的应用集成场景，影响有所区别：

• 传统服务端渲染（SSR）应用：完全无法完成登录流程。因为Keycloak依赖Cookie在浏览器与认证服务器之间传递会话标识，禁用Cookie后，认证成功的重定向无法携带会话信息，系统会判定用户未登录，反复跳转至登录页面。
• 单页应用（SPA）：默认情况下仍无法正常登录，因为SPA集成依赖Cookie实现CSRF防护及会话关联。即使开启PKCE模式，禁用Cookie后也会出现token刷新失败、跨域认证失效等问题；若强制改用localStorage存储token，会大幅提升XSS攻击风险，导致会话被窃取。

内容的提问来源于stack exchange，提问作者Naga Vijayapuram