Keycloak服务账号生成永不过期令牌及SpringBoot对接方案问询

一、是否可以生成永不过期的Keycloak服务账号令牌 #

可以实现接近永不过期的效果，但非常不推荐在生产环境使用，存在极高的安全风险：一旦客户端密钥或令牌泄露，攻击者可以长期持有访问权限。
配置方式如下：

1. 进入Keycloak管理控制台，切换到对应的Realm（你这里是api Realm）
2. 进入【客户端】菜单，找到你使用的服务账号客户端（你当前用的是默认的admin-cli，建议单独创建专属服务客户端）
3. 切换到【高级】页签，找到【访问令牌生命周期】配置项
4. 填入你需要的有效期（单位为秒），比如填315360000代表10年有效期，基本可以满足“长期不失效”的需求

二、推荐对接方案（无需每次请求前重新生成令牌） #

生产环境建议使用令牌缓存+自动刷新的方案，无需手动维护令牌生成逻辑，也不会有令牌过期问题，性能也不受影响。

方案1：手动封装令牌管理工具（轻量场景） #

核心逻辑：

• 缓存当前有效的令牌及过期时间戳，判断令牌有效性时提前预留1分钟的缓冲时间，避免网络延迟导致的令牌过期问题
• 只有当令牌即将过期时，才调用Token接口生成新令牌
  你当前获取令牌的curl对应请求逻辑可以封装为方法，curl示例如下：

curl --location --request POST 'http://localhost:8081/auth/realms/api/protocol/openid-connect/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'grant_type=client_credentials' \
--data-urlencode 'client_id=admin-cli' \
--data-urlencode 'client_secret=f8111a95-67dd-412e-9e04-cf044f0e0286'

参考Java工具类逻辑：

@Component
public class KeycloakTokenManager {
    // 令牌提前过期缓冲时间，单位毫秒，这里设1分钟
    private static final long BUFFER_TIME = 60 * 1000L;
    private String accessToken;
    private long expiresAt;

    @Autowired
    private RestTemplate restTemplate;

    public synchronized String getValidToken() {
        // 令牌不为空且未到提前过期时间，直接返回
        if (accessToken != null && System.currentTimeMillis() < expiresAt - BUFFER_TIME) {
            return accessToken;
        }
        // 重新申请令牌
        return refreshToken();
    }

    private String refreshToken() {
        // 封装表单请求参数
        MultiValueMap<String, String> params = new LinkedMultiValueMap<>();
        params.add("grant_type", "client_credentials");
        params.add("client_id", "admin-cli");
        params.add("client_secret", "f8111a95-67dd-412e-9e04-cf044f0e0286");
        HttpHeaders headers = new HttpHeaders();
        headers.setContentType(MediaType.APPLICATION_FORM_URLENCODED);
        HttpEntity<MultiValueMap<String, String>> request = new HttpEntity<>(params, headers);
        // 发送请求解析返回结果
        ResponseEntity<Map> response = restTemplate.postForEntity(
            "http://localhost:8081/auth/realms/api/protocol/openid-connect/token",
            request,
            Map.class
        );
        Map<String, Object> body = response.getBody();
        this.accessToken = (String) body.get("access_token");
        // 计算过期时间戳
        int expiresIn = (int) body.get("expires_in");
        this.expiresAt = System.currentTimeMillis() + expiresIn * 1000L;
        return accessToken;
    }
}

方案2：使用Spring Security OAuth2 Client（推荐，适配Spring生态） #

如果你项目已经接入Spring Security，直接配置OAuth2客户端即可，框架会自动完成令牌的缓存、刷新逻辑，不需要自己写维护代码：

1. 引入对应OAuth2 Client依赖
2. 在配置文件中配置Keycloak客户端的client-id、client-secret、token-uri等信息
3. 注入OAuth2AuthorizedClientManager，直接获取有效令牌即可，框架会自动处理过期刷新

注意事项 #

• 不要直接使用默认的admin-cli作为服务账号客户端，建议单独创建专属的confidential类型客户端，仅开启服务账号模式，并按需分配最小权限的Admin角色，降低安全风险
• 生产环境不要设置过长的令牌有效期，自动刷新方案的额外性能开销可以忽略，安全性更高

内容的提问来源于stack exchange，提问作者Kévin