Node.js结合Keycloak：登出时如何失效JWT Token？

JWT本身是无状态的，无法直接主动作废已签发的Token，但可以通过Keycloak提供的官方端点和机制实现登出时的Token失效，以下是具体实现方式：

1. 调用Keycloak Logout端点实现登出失效 #

Keycloak的Logout端点会同时失效对应的Access Token和Refresh Token，适用于用户主动登出场景。

前端触发登出（带Refresh Token） #

如果是前端发起登出请求，可直接将Refresh Token传给Logout端点：

const axios = require('axios');

async function logoutUser(refreshToken) {
  const keycloakConfig = {
    url: 'https://your-keycloak-domain/auth',
    realm: 'your-realm-name',
    clientId: 'your-client-id',
    clientSecret: 'your-client-secret' // 仅Confidential类型客户端需要
  };

  try {
    await axios.post(
      `${keycloakConfig.url}/realms/${keycloakConfig.realm}/protocol/openid-connect/logout`,
      new URLSearchParams({
        client_id: keycloakConfig.clientId,
        client_secret: keycloakConfig.clientSecret,
        refresh_token: refreshToken
      }),
      { headers: { 'Content-Type': 'application/x-www-form-urlencoded' } }
    );
    console.log('Token已成功失效');
  } catch (error) {
    console.error('登出失败:', error.response.data);
  }
}

后端主动触发登出（无前端参与） #

如果需要后端主动让用户Token失效，可传入id_token_hint（用户的ID Token）替代Refresh Token：

async function forceLogoutUser(idToken) {
  const keycloakConfig = { /* 同上配置 */ };

  try {
    await axios.post(
      `${keycloakConfig.url}/realms/${keycloakConfig.realm}/protocol/openid-connect/logout`,
      new URLSearchParams({
        client_id: keycloakConfig.clientId,
        client_secret: keycloakConfig.clientSecret,
        id_token_hint: idToken
      }),
      { headers: { 'Content-Type': 'application/x-www-form-urlencoded' } }
    );
  } catch (error) {
    console.error('强制登出失败:', error.response.data);
  }
}

2. 使用Token Revocation端点撤销指定Token #

如果只需要单独失效Access Token或Refresh Token，可调用Keycloak的Revocation端点：

async function revokeToken(token, tokenType) {
  const keycloakConfig = { /* 同上配置 */ };

  try {
    await axios.post(
      `${keycloakConfig.url}/realms/${keycloakConfig.realm}/protocol/openid-connect/revoke`,
      new URLSearchParams({
        client_id: keycloakConfig.clientId,
        client_secret: keycloakConfig.clientSecret,
        token: token,
        token_type_hint: tokenType // 可选值：access_token / refresh_token
      }),
      { headers: { 'Content-Type': 'application/x-www-form-urlencoded' } }
    );
    console.log(`${tokenType}已成功撤销`);
  } catch (error) {
    console.error('撤销Token失败:', error.response.data);
  }
}

// 调用示例：撤销Access Token
revokeToken(userAccessToken, 'access_token');

3. 结合Token Introspection做实时有效性校验 #

由于JWT本身无法被主动作废，建议在后端接口的认证中间件中，每次请求都调用Keycloak的Introspection端点校验Token是否有效（比如是否已被登出）：

async function validateToken(token) {
  const keycloakConfig = { /* 同上配置 */ };

  try {
    const response = await axios.post(
      `${keycloakConfig.url}/realms/${keycloakConfig.realm}/protocol/openid-connect/token/introspect`,
      new URLSearchParams({
        client_id: keycloakConfig.clientId,
        client_secret: keycloakConfig.clientSecret,
        token: token
      }),
      { headers: { 'Content-Type': 'application/x-www-form-urlencoded' } }
    );
    // 返回的active字段为true表示Token有效
    return response.data.active;
  } catch (error) {
    console.error('校验Token失败:', error.response.data);
    return false;
  }
}

// Express中间件示例
app.use(async (req, res, next) => {
  const token = req.headers.authorization?.split(' ')[1];
  if (!token) return res.status(401).send('未提供Token');

  const isValid = await validateToken(token);
  if (!isValid) return res.status(401).send('Token已失效');
  next();
});

注意事项 #

• 确保Keycloak客户端配置为Confidential类型（如果需要使用client_secret），默认Confidential客户端已允许调用这些端点。
• 若使用Public类型客户端，无需传入client_secret，但需要确保客户端在Keycloak中配置了正确的重定向URI。

内容的提问来源于stack exchange，提问作者Luka Martins