项目决策 - JWT 与经典会议

Question

因此，我正在构建我的第一个项目，该项目将用于中高流量的生产中。

我决定使用 Keycloak 作为它的 IdP，NodeJS 作为后端，React 作为前端（两者都在 TypeScript 上）。对于后端，我想使用不记名令牌作为身份验证。

当我研究 Keycloak 时，我发现它使用 JWT 令牌来填充用户的数据。我还偶然发现一些人建议不要将 JWT 令牌与用户的数据一起使用。

老实说，这些观点对我来说似乎非常有效 - 但现在，在使用 Keycloak 时我有什么替代方案呢？好的，如果我使用自己的身份验证 &我想我可以使用经典会话的授权系统。但我不知道如何在 Keycloak 中实现它们。另外，对我来说，像 Keycloak 这样流行和大的东西会使用默认情况下会很糟糕的东西（JWT），这似乎很奇怪 - 所以我不确定我是否应该改变这个机制。

所以，我的问题是：

将 JWT 令牌与用户数据一起使用是否安全？ （Keycloak 的默认值） 它看起来是这样的：

{
  exp: 1645637327,
  iat: 1645601327,
  jti: 'removed',
  iss: 'http://localhost:8080/auth/realms/supercatalog',
  aud: 'account',
  sub: 'removed',
  typ: 'Bearer',
  azp: 'restapi',
  session_state: '2434f33d-73c4-4f38-8c80-e92356380ffa',
  acr: '1',
  'allowed-origins': [ '' ],
  realm_access: {
    roles: [
      'app-elev',
      'offline_access',
      'uma_authorization',
      'default-roles-supercatalog'
    ]
  },
  resource_access: { restapi: { roles: [Array] }, account: { roles: [Array] } },
  scope: 'email profile',
  sid: 'removed',
  email_verified: false,
  preferred_username: 'elev'
}

如果没有，在仍然使用 Keycloak 的同时，还有什么替代方案？

Answer 1

您可以将 access/id-token 中的用户信息保持在最低限度，然后让应用程序或 API 单独查询 UserInfo 端点以获取所有用户详细信息。令牌中的数据非常开放，因此如果将其发送到浏览器或用户可以访问，那么这可能是一个问题。但如果一切都在您的后端内，那么问题就更少了。

什么是 Keycloak 的 OAuth2 / OpenID Connect 端点？