Keycloak中何时创建后端客户端？不创建是否可行？

用公钥验证JWT而非创建后端客户端的做法是否错误？ #

这种做法完全没错。JWT本身是自包含的令牌，用Keycloak的公钥就能验证令牌的签名有效性、签发方合法性、令牌是否过期这些核心信息。在很多简单的前后端分离场景里，比如前端仅负责用户登录、后端只需要校验令牌合法性来放行接口，这种方式足够轻量且有效，没必要额外创建后端客户端。

何时、为何要创建Keycloak后端客户端？ #

并不是所有场景都需要后端客户端，但遇到以下情况时，创建后端客户端会让你的架构更安全、更灵活：

• 后端需要主动调用其他受保护的服务：如果你的后端要调用另一个同样用Keycloak保护的API，直接用后端客户端通过「客户端凭证模式」获取专属令牌，比依赖前端传递的令牌更可靠，也避免了前端令牌权限过大的问题。
• 需要更细粒度的权限控制：如果你的后端要用到Keycloak的客户端级角色、资源权限（比如基于特定客户端的权限策略），或者要启用Keycloak的授权服务做复杂的ABAC/RBAC校验，后端客户端是必要的——它能帮你精准关联后端服务的身份和权限规则。
• 需要长期或离线访问资源：比如后端有定时任务、异步任务需要访问受保护的资源，通过后端客户端获取离线令牌（offline token），或者主动刷新令牌，不用依赖前端的刷新流程，能保证服务的独立性。
• 安全合规要求：有些场景要求后端服务有独立的身份标识，通过客户端凭证认证，确保所有后端请求的合法性，避免前端令牌泄露后被恶意利用来访问后端接口。

参考了React+Express集成Keycloak的实践内容，总结了这些场景和结论。

内容的提问来源于stack exchange，提问作者Anurag