Keycloak仅在首次登录时获得Google刷新令牌

Question

我正在使用Keycloak与Google作为身份提供商。我需要谷歌的刷新令牌来管理用户的日历。以下是我的Keycloak Google IDP设置：

登录后，我根据https://www . key cloak . org/docs/latest/server _ development/index . html # retrieving-external-IDP-tokens获取刷新令牌。看起来像这样:

{
    "access_token": "XXXXXXXXXXXXXXXXXXXXXXXXXXXX",
    "expires_in": 3599,
    "refresh_expires_in": 0,
    "refresh_token": "YYYYYYYYYYYYYYYYYYYYYYYYYYYY",
    "token_type": "Bearer",
    "id_token": "ZZZZZZZZZZZZZZZZZZZZZZZZZZZZ",
    "not-before-policy": 0,
    "scope": "openid https://www.googleapis.com/auth/calendar https://www.googleapis.com/auth/userinfo.email https://www.googleapis.com/auth/userinfo.profile",
    "accessTokenExpiration": 1593706596
}

现在的问题是，当我第二次登录，然后再次尝试获取刷新令牌时，它消失了:

{
    "access_token": "XXXXXXXXXXXXXXXXXXXXXXXXXXXX",
    "expires_in": 3599,
    "refresh_expires_in": 0,
    "token_type": "Bearer",
    "id_token": "ZZZZZZZZZZZZZZZZZZZZZZZZZZZZ",
    "not-before-policy": 0,
    "scope": "https://www.googleapis.com/auth/calendar https://www.googleapis.com/auth/userinfo.email https://www.googleapis.com/auth/userinfo.profile openid",
    "accessTokenExpiration": 1593706782
}

我真的不确定这怎么可能。我想到的一件事是，Keycloak不尊重子请求登录的“请求刷新令牌”设置，但我不知道如何验证这一点。

Answer 1

这不是Keycloak的错误，而是Google规范。仅在用户首次授权时提供refresh_token。以下是此行为的文档：

refresh_token：可用于获取新访问令牌的令牌。刷新令牌在用户撤消访问之前有效。同样，只有当您在对Google授权服务器的初始请求中将access_type参数设置为offline时，此字段才会出现在该响应中。-来源

如果您想再次获取刷新令牌，您必须：

1. 转到显示可以访问您帐户的应用程序的页面：https://myaccount.google.com/u/0/permissions.
2. 在第三方应用菜单下，选择您的应用。
3. 单击删除访问权限，然后单击确定以确认
4. 您发出的下一个OAuth2请求将返回refresh_token（前提是它还包含'access_type=离线'查询参数。

与此答案相关