CIBA无同意模式实现遭遇403 invalid_token错误求助

我正在为CIBA实现无同意模式（No CONSENT mode），调用端点http://<host>/realms/x/protocol/openid-connect/ext/ciba/auth后已成功获取auth_req_id。接下来尝试调用回调URL批准认证请求，以便调用/token API，但收到403错误。

我的cURL请求： #

curl --location 'http://<domain>/realms/x/protocol/openid-connect/ext/ciba/auth/callback' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer <token>' \
--data '{
    "auth_req_id": "<auth_req_id>",
    "status": "SUCCEED"
}'

错误响应： #

{
    "error": "invalid_token",
    "error_description": "Invalid token"
}

启动Keycloak的命令： #

kc.bat start-dev --spi-ciba-auth-channel--ciba-http-auth-channel--http-authentication-channel-uri=http://localhost:8081/api/request

可能的问题排查方向： #

• 令牌权限匹配：回调接口需要的是管理员账户或授权服务账户的access_token，而非普通用户的认证令牌，确认<token>的来源是否正确。
• 令牌受众验证：检查令牌的aud字段是否包含Keycloak realm管理相关的受众，不匹配会导致令牌验证失败。
• SPI启动参数格式：启动命令中的SPI参数存在连续双横杠错误，正确格式应为--spi-ciba-auth-channel-ciba-http-auth-channel-http-authentication-channel-uri=http://localhost:8081/api/request，参数格式错误会导致CIBA回调通道配置失效，引发权限验证异常。
• 令牌有效性检查：用Keycloak令牌 introspect 端点http://<domain>/realms/x/protocol/openid-connect/token/introspect验证令牌，确认其未过期、未吊销，且包含manage-ciba等必要权限。
• 回调URL配置一致性：确认Keycloak Realm的CIBA HTTP回调通道配置中，允许的回调URL与请求URL完全匹配（域名、路径均需一致）。

内容的提问来源于stack exchange，提问作者Fernando