使用keycloak-angular库跳转登录页，refresh token未正常更新如何解决？

问题根因&修复方案 #

1. 优先确认Keycloak服务端会话配置（需管理员配合排查） #

• Keycloak的SSO Session Max参数优先级高于refresh token单独的有效期：如果管理员将客户端/域级别的SSO会话最大有效期设置为40分钟，那么无论你怎么刷新refresh token，整个会话到40分钟就会强制失效，直接触发登出，这是该场景下最常见的原因。
• 确认域的Revoke Refresh Token开关配置：如果开关关闭，Keycloak不会每次刷新都返回新的refresh token，只会复用最初的refresh token直到过期，和你遇到的表现完全一致。
• 确认Refresh Token Max Age配置是否被限制为40分钟：如果该值被固定，新生成的refresh token的过期时间会从首次登录时间开始计算，而不是每次刷新的时间顺延。

2. 代码层面修复点 #

你当前调用updateToken的方式存在缺陷，updateToken是异步方法，返回Promise，你没有处理异步结果也没有加错误捕获，容易出现竞态或者刷新失败无感知的问题，调整代码如下：

from(keycloak.keycloakEvents$)
    .subscribe(async (event: any) => {
        console.log('keycloak token event', event.type);
        if (event.type == KeycloakEventType.OnTokenExpired) {
            try {
                // 等待updateToken执行完成，确认刷新成功
                const refreshed = await keycloakInstance.updateToken(30);
                if (refreshed) {
                    console.log('token刷新成功');
                }
            } catch (err) {
                console.error('token刷新失败，需要重新登录', err);
                // 刷新失败主动触发重新登录逻辑，避免无感知过期
                keycloakInstance.login();
            }
        }
        // 日志放在刷新逻辑后，确保打印的是刷新后的最新值
        console.log('tokens', keycloakInstance.token, keycloakInstance.refreshToken);
        console.log('tokenParsed', u2t(keycloakInstance.tokenParsed.iat), u2t(keycloakInstance.tokenParsed.exp));
        console.log('refreshTokenParsed', u2t(keycloakInstance.refreshTokenParsed.iat), u2t(keycloakInstance.refreshTokenParsed.exp));
    })

3. 额外校验项 #

• 确认你的Keycloak JS适配器版本和服务端版本匹配：大版本差异会导致refresh token逻辑异常，比如服务端用的是Keycloak 18+，适配器用的是旧版的keycloak-js 15就会出现类似问题。
• 如果不需要SSO跨端共享会话，可以申请管理员给你的客户端开启offline_access scope，获取离线访问权限，refresh token的有效期就不会受SSO会话时长限制。

内容的提问来源于stack exchange，提问作者Nelson Teixeira