SpringBoot应用中从Keycloak API获取JWT令牌及相关问题咨询

嘿，作为Keycloak新手，这两个问题其实都是Spring Boot集成时的常见需求，我来给你一步步讲清楚：

一、获取JWT令牌对象读取更多属性 #

当你继承了KeycloakWebSecurityConfigurerAdapter后，Spring Security的上下文里已经持有了Keycloak的认证信息，你可以通过以下方式拿到JWT令牌并读取其中的属性：

1. 从SecurityContext获取令牌 #

在任何需要的方法中，通过SecurityContextHolder获取认证对象，强转为KeycloakAuthenticationToken后就能拿到JWT：

import org.keycloak.adapters.springsecurity.token.KeycloakAuthenticationToken;
import org.keycloak.representations.AccessToken;
import org.springframework.security.core.context.SecurityContextHolder;

// 示例方法
public void getJwtAttributes() {
    KeycloakAuthenticationToken authToken = 
        (KeycloakAuthenticationToken) SecurityContextHolder.getContext().getAuthentication();
    AccessToken jwtToken = authToken.getAccount().getKeycloakSecurityContext().getToken();
    
    // 读取标准JWT属性
    String username = jwtToken.getPreferredUsername();
    String email = jwtToken.getEmail();
    List<String> roles = jwtToken.getRealmAccess().getRoles();
    
    // 读取自定义声明（比如你在Keycloak里给用户加的自定义属性）
    String customAttribute = jwtToken.getOtherClaims().get("your-custom-claim-key").toString();
}

2. 在Controller中直接注入Principal #

如果是在Controller层，你可以直接注入Principal对象，再强转为KeycloakAuthenticationToken：

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
import java.security.Principal;

@RestController
public class UserController {
    @GetMapping("/user-details")
    public String getUserDetails(Principal principal) {
        KeycloakAuthenticationToken authToken = (KeycloakAuthenticationToken) principal;
        AccessToken token = authToken.getAccount().getKeycloakSecurityContext().getToken();
        
        return String.format("用户名：%s，邮箱：%s，角色：%s",
                token.getPreferredUsername(),
                token.getEmail(),
                token.getRealmAccess().getRoles().toString());
    }
}

二、用户注销后使令牌失效 #

Keycloak的令牌默认有过期时间，但主动注销时需要确保令牌立即失效，这里分两种场景处理：

1. 用户主动注销（前端触发） #

在你的configure(HttpSecurity http)方法中，配置Spring Security的注销流程，并添加Keycloak的注销处理器，这样用户访问注销接口时，会通知Keycloak使当前令牌失效：

import org.keycloak.adapters.springsecurity.logout.KeycloakLogoutHandler;
import org.keycloak.adapters.springsecurity.client.KeycloakClientResolver;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;

@Override
protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    http.authorizeRequests()
            // 你的权限配置...
            .anyRequest().authenticated()
            .and()
            .logout()
                .logoutUrl("/logout") // 自定义注销接口路径
                .addLogoutHandler(keycloakLogoutHandler()) // 添加Keycloak注销处理器
                .logoutSuccessUrl("/login"); // 注销成功后跳转的页面
}

@Bean
public KeycloakLogoutHandler keycloakLogoutHandler() {
    return new KeycloakLogoutHandler(keycloakClientResolver());
}

当用户访问/logout时，Spring Security会调用Keycloak的注销端点，使当前用户的会话和令牌失效。

2. 后端主动失效令牌（比如管理员强制注销） #

如果需要在后端主动让某个用户的所有令牌失效，你可以使用Keycloak Admin Client调用Keycloak的Admin API：

首先，在pom.xml中添加Admin Client依赖：

<dependency>
    <groupId>org.keycloak</groupId>
    <artifactId>keycloak-admin-client</artifactId>
    <version>${keycloak.version}</version> <!-- 与你的Keycloak版本一致 -->
</dependency>

然后编写代码调用API：

import org.keycloak.admin.client.Keycloak;
import org.keycloak.admin.client.KeycloakBuilder;

public void invalidateUserTokens(String userId) {
    // 初始化Keycloak Admin Client
    Keycloak keycloak = KeycloakBuilder.builder()
            .serverUrl("http://your-keycloak-server/auth") // 你的Keycloak地址
            .realm("your-realm-name") // 你的Realm名称
            .clientId("admin-cli") // 默认的管理员客户端ID
            .username("admin-username") // 管理员用户名
            .password("admin-password") // 管理员密码
            .build();
    
    // 使指定用户的所有会话（令牌）失效
    keycloak.realm("your-realm-name").users().get(userId).logout();
}

这个方法会让该用户的所有活跃令牌立即失效，用户需要重新登录。

内容的提问来源于stack exchange，提问作者Zaks M