ReactKeycloakProvider中SSO空闲会话未终止，调用login直接登录问题

核心原因 #

Keycloak的login()方法默认会优先复用已有的SSO会话——哪怕你以为会话已空闲超时，客户端侧可能还握着有效的刷新令牌，或者check-sso的iframe机制仍在维持会话状态感知，导致直接跳过重新认证步骤。

具体解决步骤 #

1. 强制登录时触发重新认证 #

调用login()时加上prompt: 'login'参数，直接绕开SSO会话复用逻辑，要求用户重新输入凭证：

keycloak.login({
  prompt: 'login'
});

这是最直接解决问题的方法，不管客户端侧有没有残留会话状态，都会强制打开登录页面。

2. 检查Keycloak后台的超时配置 #

去Keycloak后台对应客户端和Realm的配置页面，确认以下参数是否符合你的预期：

• 会话超时（Session Timeout）：客户端级的空闲超时时长
• SSO会话空闲超时（SSO Session Idle Timeout）：Realm级的全局空闲超时
• 刷新令牌生命周期（Refresh Token Lifespan）：如果刷新令牌没过期，login()会自动用它换发新令牌，不会触发重新认证

3. 校验本地令牌有效性 #

调用login()前，先强制校验令牌状态，若令牌已过期再触发强制登录：

// 强制校验令牌，-1表示立即检查，不尝试刷新
keycloak.updateToken(-1).then(refreshed => {
  if (!refreshed) {
    // 令牌已失效，强制重新认证
    keycloak.login({ prompt: 'login' });
  } else {
    // 令牌仍有效，按正常流程处理
    keycloak.login();
  }
}).catch(() => {
  // 校验失败，直接强制登录
  keycloak.login({ prompt: 'login' });
});

4. 排查check-sso iframe的问题 #

你启用了checkLoginIframe: true，若silent-check-sso.html配置错误，会导致客户端无法正确感知会话超时：

• 确保该文件放在项目根目录，内容如下：

<!DOCTYPE html>
<html>
<body>
  <script>
    parent.postMessage(location.href, location.origin);
  </script>
</body>
</html>

• 可以尝试关闭checkLoginIframe（设为false），测试是否会解决会话感知延迟的问题

5. 监听会话过期事件 #

通过ReactKeycloakProvider的onEvent回调捕获令牌过期事件，后续登录时针对性处理：

<ReactKeycloakProvider
  authClient={keycloak}
  initOptions={{
    onLoad: 'check-sso',
    checkLoginIframe: true,
    silentCheckSsoRedirectUri: window.location.origin + '/silent-check-sso.html'
  }}
  onEvent={(event) => {
    if (event === 'onTokenExpired') {
      // 标记会话已过期
      window.sessionStorage.setItem('kc_session_expired', '1');
    }
  }}
>
  {children}
</ReactKeycloakProvider>

调用登录时：

const isExpired = window.sessionStorage.getItem('kc_session_expired') === '1';
keycloak.login({
  prompt: isExpired ? 'login' : undefined
});

内容的提问来源于stack exchange，提问作者Matt