Keycloak通过token-exchange实现impersonate及获取用户会话问题咨询

方案1：基于已调通的token-exchange完成impersonate流程 #

你已经拿到模拟用户的access_token后，不需要手动为sso.id.example.com创建Cookie，根据不同的业务场景直接用即可：

• 后端服务模拟用户调用受保护接口：直接把获取到的access_token填入请求头Authorization: Bearer <对应token值>，所有同Keycloak Realm下的受保护服务都会识别请求身份为被模拟用户，权限校验也会匹配该用户的角色配置。
• 前端管理员切换为被模拟用户登录态：将拿到的access_token、refresh_token按你现有Spring Boot应用的登录规则存入id.example.com域名的Cookie或前端存储即可。如果需要访问Keycloak托管的资源（比如账户管理页），可以直接携带token调用Keycloak的静默登录接口建立SSO会话，浏览器会自动生成sso.id.example.com域名下的会话Cookie。

另外你现有token exchange代码可以不用手动拼接HttpClient请求，Keycloak Java Admin Client已经封装了对应的能力，直接调用内置方法即可，减少参数填错的概率。注意配置中的audience参数需要填写你要访问的目标客户端ID，否则拿到的token无法访问对应服务。

方案2：Impersonate Rest API的正确使用方式 #

你之前拿到Cookie不生效的核心原因是跨域限制：sso.id.example.com域名下的Cookie无法由部署在id.example.com的后端直接写入前端，正确的实现逻辑有两种：

• 前端直接发起请求：让管理员的浏览器直接调用sso.id.example.com域名下的impersonate接口，请求时携带管理员自身的Keycloak会话Cookie，接口返回的Set-Cookie响应头会被浏览器自动写入sso.id.example.com域名下，之后跳转任意同Realm的客户端都会自动携带被模拟用户的会话，完成身份切换。
• 后端转发Cookie参数：如果必须由后端发起Impersonate请求，你可以把响应中Cookie的key、value、过期时间、作用域等参数返回给前端，让前端通过JS写入sso.id.example.com域名下的Cookie（需要提前配置好跨域写入权限）。

方案3：Java Admin Client impersonate方法的正确用法 #

你之前拿到的重定向URL可以直接使用，不需要额外处理会话：将该URL返回给前端，让管理员的浏览器直接跳转即可，Keycloak会自动校验当前管理员的impersonate权限，校验通过后会自动建立被模拟用户的SSO会话，之后按配置跳转到对应的客户端地址，直接完成身份切换。

注意：以上所有方案都需要提前在Keycloak控制台配置好对应客户端的impersonate权限，以及发起模拟的账号/服务账号拥有impersonate角色，否则会触发权限报错。

内容的提问来源于stack exchange，提问作者Vetrox