Keycloak 会话 - 当我将它们与管理页面断开连接时，它们仍然有效

Question

我有一个 Keycloak 领域，其中一些用户作为 Nodejs + Typescript 项目的 IdP。

我目前有这两个会议，如图所示：

如果我按全部注销，它们会从这里消失，但它们仍然有效。

示例：

1) I create a new session. I get its JWT token as a response
2) I do a GET req on one of the protected routes with the token attached. It works.
4) I logout all sessions by pressing the button in that photo
5) I do the same GET req on the same protected route. It still works.
 I expect it NOT to work, because I previously logged out all sessions.

这是我的 keycloak-config

import express, {Application} from 'express';
import { Keycloak as KeycloakType } from "keycloak-connect";

var session = require('express-session');
var Keycloak = require('keycloak-connect');

let _keycloak: KeycloakType;

var memoryStore = new session.MemoryStore();

let kcConfig = {
    clientId: 'restapi',
    bearerOnly: true,
    serverUrl: 'http://localhost:8080/auth',
    realm: 'supercatalog',
    realmPublicKey: 'deleted'
};

function getKeycloak() {
    if (_keycloak) {
        return _keycloak;
    } 
    console.log("Initializing Keycloak...");
    _keycloak = new Keycloak({ store: memoryStore }, kcConfig);
    return _keycloak;
}

export {getKeycloak, memoryStore};

我的受保护路由

router.get('/', keycloak.protect(), async (req:Request, res:Response):Promise<void> => {
    var bearerToken: string = await (await keycloak.getGrant(req, res)).toString() as string;
    var decoded: any = jwtDecode(bearerToken);
    console.log(decoded.resource_access.restapi.roles);
    res.send("hello");
});

我是否误解了令牌流？

Answer 1

一般来说，会话​​独立于 JWT。 JWT 的优点（和缺点）是，应用程序可以仅使用发行者公钥进行加密验证，该公钥可以是预共享的，也可以是动态查找和缓存的。 JWT 是自编码访问的示例令牌意味着您可以验证它，而无需不断回调中央身份验证/授权服务。这使得它们成为分布式系统和零信任架构中身份验证的理想选择，只要您可以信任发行者公钥，您就可以验证和信任所提供的 JWT。

但是这也有一个缺点。 JWT 包含一个到期时间，在此之前应用程序将认为它有效。正如已经指出的，JWT 的使用者（例如 REST API）不需要与发行服务进行对话来验证它。

因此，在您的特定情况下，您的应用程序会看到 JWT，以加密方式验证它并验证它尚未过期，从而接受它。

使用 JWT 的系统的去中心化性质意味着通常不会撤销 JWT 本身。这是因为它需要维护一个撤销列表，并且您必须有一个中央服务来做到这一点。这并不是说这在技术上是不可能的，但这样做首先会失去使用 JWT 的大部分好处。

由于会话的管理独立于 JWT，因此您可以使会话无效，同时为其颁发的 JWT 仍然有效。如果您需要有效的会话，那么您必须独立于基于 JWT 的身份验证来强制执行。

Answer 2

您缺少的是 OAuth 2.0 的 令牌内省 。正如 RobV 所提到的，JWT 可以用来验证访问令牌，但另一方面，可以对服务器进行网络调用来验证它。

当使用keycloak-connect时，这是在grant-manager的validateAccessToken函数中实现的。另一方面，keycloak.protect() 请求处理程序的构建方式是，如果访问令牌无效，则使用刷新令牌来颁发新的令牌（比较 代码）。因此，尽管您被按下注销，但它会自动再次让您登录。

您可以使用另一个自定义处理程序来内省令牌（也在此处进行了讨论）：

const introspection = async function (req: any, res: any, next: any) {
    try {
        let grant = await keycloak.getGrant(req, res);
        let isValid = await keycloak.grantManager.validateAccessToken(grant.access_token!!);
        if (!isValid) {
            return keycloak.accessDenied(req, res);
        } else {
            return next();
        }
    } catch (e) {
        console.log(e);
        return keycloak.accessDenied(req, res);
    }
}

app.get('/protected/resource', keycloak.checkSso(), introspection, function (req, res, next) {
    console.log('I am in');
}

Keycloak 仅允许在客户端机密时调用内省端点。