Keycloak服务器重启后Access Token失效问题咨询

我来帮你拆解一下这个问题背后的原因和可行的解决方案：

为什么重启Keycloak后原有令牌失效？ #

虽然Keycloak会将令牌相关的元数据存储到MariaDB中，但默认情况下，Keycloak会在内存中维护活跃会话的缓存。当你重启Keycloak服务器时，这块内存缓存会被清空，而Keycloak并不会自动从数据库中加载已有的会话记录来恢复状态。这就导致服务器无法识别之前颁发的令牌，判定会话无效，最终将用户重定向到登录页。

简单来说：数据库里存的是会话的持久化数据，但服务器运行时的会话有效性校验依赖内存缓存，重启后缓存没了，旧令牌自然不被认可。

是否需要使用Offline Token？ #

是的，Offline Token确实可以解决重启Keycloak后用户无需重新登录的场景，但你需要注意它的特性：

• Offline Token是一种长期有效的刷新令牌，即使Keycloak服务器重启，只要Token本身没过期且未被管理员吊销，就能用来获取新的访问令牌。
• 正如你提到的，Offline Token在用户主动登出后仍会保持有效（除非你在登出时明确吊销它），所以使用时要做好权限管控，比如设置合理的过期时间，或者在用户登出时调用Keycloak的API来撤销Offline Token。

要启用Offline Token，你需要：

• 在Keycloak控制台的客户端配置中，开启Offline Access权限；
• 在你的SPA通过keycloak.js初始化时，请求offline_access这个scope；
• 用户首次授权时，需要同意这个额外的权限请求。

有没有其他替代方案？ #

除了Offline Token，你还可以尝试调整Keycloak的会话存储配置，让它完全依赖数据库进行会话校验，而不是依赖内存缓存。不过在Keycloak 3.4.0这个版本中，相关配置需要修改服务器的standalone.xml（或domain.xml）：

• 找到session-cache相关的配置段，将缓存模式从默认的local改为distributed或persistent；
• 注意这种方式可能会带来一定的性能损耗，因为每次令牌校验都需要查询数据库。

内容的提问来源于stack exchange，提问作者Michael Hunziker