Keycloak配置30天刷新令牌后用户仍需每日登录的问题排查

1. 客户端级别的刷新令牌生命周期配置 #

领域级的会话配置可能被具体客户端的自定义设置覆盖了。你需要检查出现问题的客户端：

• 进入Keycloak控制台，找到对应客户端 → 切换到「Settings」标签页 → 拉到最下方的「Advanced Settings」
• 查看「Refresh Token Lifespan」参数，如果这个值设置得很短（比如默认的1天），即便领域级配置是30天，也会按客户端的设置来，导致每日需要重新登录
• 同时检查该客户端下的「SSO Session Idle」和「SSO Session Max」，确认没有覆盖领域级的30天配置

2. Cookie相关配置问题 #

Keycloak的会话依赖浏览器Cookie持久化，如果Cookie设置不合理，会导致会话丢失：

• 进入领域设置 → 「Security Defenses」→ 「Cookie」
• 检查「Session Cookie」的配置：
  • 确认「Cookie Max Age」设置与你的会话时长匹配（比如30天对应的秒数是2592000）
  • 检查「Secure」「SameSite」属性是否符合你的部署环境：如果是HTTP环境，不要开启Secure；SameSite设置如果过于严格（比如Strict），可能在跨域场景下导致Cookie无法携带
• 另外，部分浏览器的隐私设置（比如自动清理第三方Cookie、无痕模式）也会导致Cookie无法持久，需要确认用户的浏览器设置是否正常

3. 客户端的令牌刷新逻辑问题 #

虽然你没修改访问令牌的默认值，但客户端需要正确实现刷新令牌自动续期的逻辑：

• 如果客户端在访问令牌过期后，没有调用Keycloak的刷新接口（/realms/{realm}/protocol/openid-connect/token，grant_type设为refresh_token）获取新的访问令牌，而是直接跳转登录页，用户就会觉得需要每日登录
• 确认客户端代码里是否处理了访问令牌过期的情况，是否正确使用刷新令牌续期

4. 用户级别的会话限制（概率较低） #

检查出现问题的用户是否被单独设置了会话限制：

• 进入用户管理→找到对应用户→「Credentials」标签页→查看「Session Limits」部分，确认没有设置短于30天的会话时长

内容的提问来源于stack exchange，提问作者Michelle