Keycloak 19仅返回HS256 Token，如何获取期望的RS256 Token？

关键配置排查与修复步骤 #

• 强制客户端使用RS256签名算法
  进入Keycloak控制台 → 目标Realm → Clients → 你的前端客户端 → Settings标签页，找到Token Signature Algorithm选项，选择RS256并保存。前端public客户端默认多为HS256，必须手动指定非对称加密算法。

• 验证Realm的RS256密钥有效性
  进入Realm → Realm Settings → Keys标签页，确认RS256对应的密钥状态为Active。若不存在RS256密钥，点击Generate生成新RSA密钥对，生成后点击密钥行的Set Active激活。

• 清理Realm允许的算法列表
  进入Realm → Realm Settings → Security Defenses标签页，在Allowed Algorithms中仅保留RS256（移除HS256）。修改后需重启Keycloak服务确保生效。

• 清除旧Token缓存
  react-oidc和Service Worker可能缓存了HS256格式的旧Token，需执行：

  • 强制登出当前用户后重新登录
  • 清除浏览器本地/会话存储
  • 在浏览器开发者工具Application标签页刷新Service Worker缓存

RS256的合理性说明 #

你的需求完全合理：RS256采用非对称加密，私钥仅存于Keycloak服务器，API服务无需与Keycloak交互，仅用公钥即可离线验证Token合法性，既提升验证性能，又降低系统耦合度。

几乎不存在不建议使用RS256的场景——仅极端高并发场景下HS256验证速度略快，但HS256需共享密钥，前端public客户端无法安全存储密钥，反而存在泄露风险，因此RS256是前端认证的最优选择。

内容的提问来源于stack exchange，提问作者Dirkos