Keycloak网关：通过编程方式保持令牌持续有效

首先明确：你调用的introspect接口仅用于验证令牌有效性、获取令牌元数据，它完全不具备延长令牌有效期的能力，这是核心误区。以下是正确的解决方案：

1. 改用Refresh Token刷新Access Token #

Keycloak的令牌续期逻辑依赖refresh_token，具体操作步骤：

• 首次获取令牌时，确保客户端配置允许返回refresh_token（多数授权模式默认支持），响应结果会包含access_token和refresh_token
• 调用正确的刷新接口：

  POST http://localhost:8080/realms/dev/protocol/openid-connect/token
  

• 请求参数采用表单格式：
  • grant_type=refresh_token
  • refresh_token=你的刷新令牌
  • client_id=你的客户端ID
  • 若客户端为confidential类型，需额外添加client_secret=你的客户端密钥
• 成功响应会返回新的access_token，部分配置下会同步返回新的refresh_token，记得更新本地存储的令牌数据

2. 检查Keycloak客户端配置 #

• 确认客户端Access Type设置：confidential类型需确保已配置客户端密钥；public类型无需client_secret
• 在客户端Settings页面，调整Refresh Token Lifespan（例如设置为7天），保证刷新令牌的有效期足够覆盖业务需求
• 确保对应授权模式的开关已开启（如使用密码模式需开启Direct Access Grants Enabled）

3. 动作过滤器的逻辑调整 #

• 移除调用introspect的逻辑，改为解析access_token中的exp字段（过期时间戳），在令牌快过期前（例如剩余60秒）触发刷新操作
• 妥善存储refresh_token，每次刷新后更新本地存储的access_token和新的refresh_token
• 若refresh_token也过期，直接引导用户重新登录

4. 测试应用的优化 #

• 取消每30秒调用introspect的固定逻辑，改为基于令牌过期时间的触发机制
• 在测试应用中解析令牌的exp字段，计算剩余有效期，当剩余时间小于设定阈值时调用刷新接口

额外排查点 #

如果之前调用introspect报错，可检查：

• 是否正确传递了token参数（待校验的access token）
• 是否携带了客户端认证信息（client_id和client_secret）
• 查看Keycloak服务器日志获取具体错误信息，但无论如何，该接口无法实现令牌续期

内容的提问来源于stack exchange，提问作者Rick