桌面与Web端并行场景下基于Keycloak的SSO实现方案问询

针对你团队在遗留系统现代化改造中遇到的桌面端与Web端免登、一次性Refresh Token冲突、手动打开浏览器保持登录的问题，以下是业界通用的落地解决方案：

方案1：Keycloak会话同步跨端免登（推荐） #

核心逻辑 #

让后端在桌面端登录时，同时在Keycloak中建立用户浏览器会话，通过会话Cookie复用实现Web端免登，彻底分离服务器与Web端的令牌生命周期。

具体步骤

1. 优化桌面端登录流程
   • 桌面端提交用户凭证到后端，后端先用凭证完成旧系统授权
   • 后端调用Keycloak的Resource Owner Password Credentials Grant，附加参数scope=openid offline_access，获取桌面端专属的access_token/refresh_token，同时通过Keycloak Admin API创建绑定该用户的浏览器会话（或模拟授权码流回调，触发Keycloak生成会话Cookie）
   • 后端将加密后的Keycloak会话Cookie（如KEYCLOAK_SESSION）和一次性校验nonce返回给桌面端
2. 桌面端唤起Web端免登
   • 桌面端打开浏览器时，将nonce和加密会话Cookie作为URL参数传递给Angular Web端
   • Web端校验nonce有效性后，解密会话Cookie并设置到浏览器的Cookie中（需确保Domain与Keycloak匹配）
   • 调用Keycloak JS适配器的silentCheckSso()方法，自动完成会话验证与令牌获取，无需用户登录
3. 令牌刷新独立处理
   • 后端使用桌面端专属的refresh_token维护旧系统授权，定期刷新
   • Web端由Keycloak适配器自动管理令牌刷新（依赖浏览器会话，无需手动操作refresh_token），与后端令牌链完全隔离

解决的核心问题

• 一次性Refresh Token冲突：双方使用独立令牌链，互不干扰
• 手动打开浏览器登录：只要Keycloak会话未过期，浏览器自动识别会话Cookie完成登录

方案2：Keycloak后台令牌交换（适配多客户端场景） #

核心逻辑 #

利用Keycloak的令牌交换标准功能，让桌面端与Web端通过各自的客户端身份，安全交换用户令牌，实现跨端授权同步。

具体步骤

1. Keycloak客户端配置
   • 创建两个独立客户端：桌面端客户端（confidential类型，Java桌面端使用）、Web端客户端（public类型，Angular使用）
   • 开启桌面端客户端的Token Exchange Enabled权限，允许其为Web端客户端交换令牌
2. 桌面端登录流程
   • 桌面端通过自身客户端ID/Secret，调用Keycloak的Resource Owner Password Credentials Grant，获取桌面端专属令牌，后端同时完成旧系统授权
   • 后端将桌面端的access_token和一次性nonce返回给桌面端
3. Web端令牌交换与登录
   • 桌面端唤起浏览器时，传递nonce和桌面端access_token到Web端
   • Web端调用Keycloak令牌交换接口：

     POST /realms/{realm}/protocol/openid-connect/token
     Content-Type: application/x-www-form-urlencoded
     
     grant_type=urn:ietf:params:oauth:grant-type:token-exchange
     client_id=web-client-id
     subject_token=桌面端access_token
     subject_token_type=urn:ietf:params:oauth:token-type:access_token
     requested_token_type=urn:ietf:params:oauth:token-type:access_token
     

   • 交换得到Web端专属令牌后，调用Keycloak适配器的loginWithToken()建立浏览器会话，后续刷新由Web端独立处理
4. 令牌刷新
   • 桌面端用自身refresh_token刷新令牌，用于旧系统功能
   • Web端用自身refresh_token刷新令牌，用于新功能，两者完全独立

方案3：本地安全存储共享会话标识（轻量方案） #

核心逻辑 #

通过同一设备的本地安全存储，共享Keycloak会话标识，实现Web端免登，适合快速落地的场景。

具体步骤

1. 桌面端登录时存储会话标识
   • 后端在桌面端登录后，模拟浏览器授权码流，获取Keycloak会话Cookie
   • 后端将会话Cookie加密后，存储到设备本地安全存储（Java桌面端可使用java.security.KeyStore，或调用系统凭证管理器如Windows Credential Manager、macOS Keychain）
2. Web端读取会话标识完成登录
   • Angular Web端通过浏览器的localStorage或桌面端提供的本地API（如Electron的ipcRenderer）读取加密的会话Cookie
   • 解密后设置到浏览器Cookie，调用silentCheckSso()完成自动登录
3. 令牌刷新
   • 后端维护旧系统令牌，Web端依赖Keycloak会话自动刷新令牌

注意事项

• 必须对存储的会话Cookie进行强加密，避免本地泄露
• 仅适用于桌面端与Web端在同一设备的场景（符合你的需求）

关键实现提示 #

• Java后端：使用Keycloak Admin Client或RestTemplate调用Keycloak API，处理会话创建与令牌交换
• Angular Web端：集成Keycloak JS适配器，利用silentCheckSso()和loginWithToken()实现无感知登录
• Keycloak配置：确保客户端的Cookie SameSite设置为Lax或None（跨域场景），开启Offline Access权限以获取长期有效Refresh Token

内容的提问来源于stack exchange，提问作者Johannes Hahn