Keycloak登录重定向后state、session_state、code参数含义及令牌疑问

三个参数的具体含义 #

• state：Keycloak生成的随机字符串，核心作用是防范CSRF攻击。发起登录请求时Keycloak会生成该值，重定向回应用时会校验其一致性，以此确保请求合法未被篡改。
• session_state：对应Keycloak服务器端的用户会话标识，用于关联用户在Keycloak侧的会话状态，后续做会话登出、令牌刷新等操作时会用到这个值。
• code：即授权码，是OAuth2授权码流程里的临时凭证。它无法直接解码获取用户信息，需要应用拿着这个code，搭配客户端ID、客户端密钥（若为保密客户端），向Keycloak的令牌端点发起请求，才能换取访问令牌（Access Token）、刷新令牌（Refresh Token）和ID令牌（ID Token）——其中ID Token和Access Token为JWT格式，解码后可得到用户登录信息（如用户名、角色等）。

关于用户登录令牌的说明 #

你看到的这三个参数里没有直接包含可解码的用户登录令牌。授权码code只是中间凭证，必须通过应用与Keycloak服务器交互，才能拿到真正的令牌。不过你使用的Keycloak SDK会自动完成code换令牌的流程，调用appKeycloak.init()后，可通过appKeycloak.token、appKeycloak.idToken获取对应令牌，进而解码得到用户信息。

你的初始化代码补充说明 #

this.state.appKeycloak.init({
    onLoad: 'login-required',
    redirectUri: 'http://localhost:3000/ChatPage'
})

这段代码中onLoad: 'login-required'会强制用户加载应用时完成登录，redirectUri指定了登录成功后的跳转页面，Keycloak跳转时携带的三个参数，SDK会自动处理后续令牌交换逻辑，无需你手动操作这些参数。

内容的提问来源于stack exchange，提问作者CAMD_3441