为何access_token有效期超出预期？如何配置使其按时过期？

确认客户端精准配置 #

• 进入目标客户端的设置页面，切换到高级标签，找到「Token设置」板块：
  • 确认「Access Token Lifespan」（访问令牌有效期）已设为5秒，且未勾选「继承领域默认值」
  • 注意区分「Access Token」与「Refresh Token」，若测试的是访问令牌，不要误改刷新令牌的配置项

检查领域全局默认值 #

• 若客户端配置选择了继承领域设置，需进入领域设置→「Tokens」标签：
  • 查看「Default Access Token Lifespan」，如果该值为1分钟，会覆盖客户端自定义配置，需调整此值或取消客户端的继承选项

清除缓存并重新测试 #

• Keycloak的缓存可能导致配置未即时生效：
  • 重启Keycloak服务，确保配置完全加载
  • 测试时需重新获取新的token，避免使用之前缓存的旧令牌（比如先退出登录再重新授权）

验证Token实际过期时间 #

• 获取token后，通过JWT解码工具解析，查看exp字段对应的时间戳，确认是否与设置的5秒匹配
• 测试过程严格计时，排除操作流程导致的误判

内容的提问来源于stack exchange，提问作者Sanzhar Sarsekov