当Google IdP用户账户被禁用时，如何快速禁用Keycloak关联用户？

核心方向 #

要解决Google禁用用户后，用户还能靠刷新令牌继续使用SPA的问题，关键是让Keycloak每次刷新令牌时都去Google验证用户状态，而不是只依赖本地缓存的会话信息。

用Keycloak内置Google社交提供商的配置步骤 #

• 缩短令牌与会话有效期：
  进入Keycloak控制台找到你的SPA客户端，切换到「Settings」标签：
  • 将Access Token Lifespan改为5分钟（匹配你的需求）
  • 同步设置SSO Session Idle和SSO Session Max为5分钟，避免会话超时时间过长
• 开启刷新时的Google状态验证：
  进入「Identity Providers」选择Google提供商，切换到「Advanced」标签，先确保「Validate Signature」处于开启状态，然后开启**「Force Authentication on Refresh」**（该功能从Keycloak 10版本开始支持，v9无此选项，建议升级版本）。开启后，每次刷新令牌时Keycloak都会向Google验证用户账号的有效性。
• 同步用户启用状态：
  在Google提供商的「Mappers」中添加映射规则，将Google的用户启用状态同步到Keycloak用户的enabled属性，「Sync Mode」选择「Force」，确保每次用户交互时都会同步最新状态，Google禁用用户后Keycloak能及时获取状态变更。

用自定义SAML提供商的配置步骤 #

• 调整令牌与会话有效期：
  同社交提供商配置，在客户端「Settings」标签中将Access Token Lifespan设为5分钟，同步缩短会话超时时间。
• 开启SAML强制重新认证：
  在SAML提供商配置中打开「Force Authentication」选项，再进入客户端的「Advanced」标签开启「Always Refresh Token」，确保每次刷新令牌都会触发SAML断言验证，向Google确认用户状态。
• 映射用户启用状态断言：
  确保Google返回的SAML响应中包含用户启用状态的断言，然后在Keycloak的SAML映射器中，将该断言映射到Keycloak用户的enabled属性，同步模式设为「Force」，这样Google禁用用户后，下次刷新令牌时Keycloak会更新用户状态并拒绝令牌刷新请求。

额外优化手段 #

• 主动撤销用户令牌：
  如果已知某用户在Google被禁用，可通过Keycloak Admin API主动撤销该用户的所有令牌，无需等待令牌过期：

  curl -X POST "http://你的Keycloak域名/auth/admin/realms/{你的领域}/users/{用户ID}/logout" \
  -H "Authorization: Bearer {管理员令牌}"
  

• 升级Keycloak版本：
  v9版本的IdP状态验证功能不完善，建议升级到15及以上版本，获得更稳定的状态同步和令牌验证能力。

内容的提问来源于stack exchange，提问作者GGGforce