Keycloak中无需客户端密钥验证Access Token的解决方案

下面是针对你当前问题的几个高效解决方案，按优先级排序：

1. 本地JWT令牌验证（推荐） #

直接在Node后端本地完成令牌校验，无需调用Keycloak接口，性能最优。

• 核心逻辑：通过Keycloak的公钥验证JWT签名合法性，同时校验令牌的过期时间、签发者、受众等声明。
• 实现步骤：
  1. 从Keycloak获取公钥集合：访问{{keycloak_url}}/realms/{{realm}}/protocol/openid-connect/certs，接口会返回实时有效的公钥（支持自动轮换）。
  2. 使用Node.js的现代JWT库（比如jose，比jsonwebtoken更安全且维护活跃）编写验证逻辑：

     import { jwtVerify, createRemoteJWKSet } from 'jose';
     
     // 自动拉取并缓存Keycloak的公钥集合
     const jwks = createRemoteJWKSet(new URL('{{keycloak_url}}/realms/{{realm}}/protocol/openid-connect/certs'));
     
     async function validateToken(token) {
       try {
         const { payload } = await jwtVerify(token, jwks, {
           issuer: '{{keycloak_url}}/realms/{{realm}}', // 必须匹配Keycloak realm的URL
           audience: '你的API客户端ID' // 必须匹配你在Keycloak中创建的API客户端ID
         });
         return { valid: true, userInfo: payload };
       } catch (err) {
         return { valid: false, error: err.message };
       }
     }
     

  3. 将这个验证逻辑集成到Node中间件中，对每个请求的Authorization头令牌进行校验。

2. 配置Keycloak启用无密钥的令牌 introspection #

调整客户端设置，无需客户端密钥即可使用introspect接口：

• 操作步骤：
  1. 登录Keycloak管理控制台，进入你的API客户端页面。
  2. 在Settings标签页，将Access Type设置为public（如果当前是confidential）。
  3. 切换到Advanced标签页，开启Allow Introspection选项。
  4. 现在调用introspect接口时，只需传入client_id和待验证的令牌，无需client_secret：

     POST {{keycloak_url}}/realms/{{realm}}/protocol/openid-connect/token/introspect
     Content-Type: application/x-www-form-urlencoded
     
     client_id=你的API客户端ID&token=待验证的JWT令牌
     

• 注意：public客户端的introspection安全性略低于confidential模式，务必确保所有请求通过HTTPS传输。

3. 修复userinfo接口403问题，复用该接口验证 #

userinfo接口返回403通常是配置遗漏，修复后可同时完成令牌验证和用户信息获取：

• 排查方向：
  • 检查Angular端获取令牌时的scope参数，必须包含openid（必填）和至少一个用户信息相关scope（如profile、email），示例：

    keycloak.init({
      config: { /* 你的Keycloak配置 */ },
      initOptions: {
        scope: 'openid profile email'
      }
    });
    

  • 检查Keycloak客户端的Scope设置，确保已启用openid和所需的用户信息scope。
  • 验证令牌的aud声明，需匹配userinfo接口的受众（通常是你的客户端ID或Keycloak内置的account客户端）。
• 修复后，只要userinfo接口返回用户数据，即可证明令牌有效，同时还能直接获取用户信息。

内容的提问来源于stack exchange，提问作者Naresh Manthena