Quarkus、Keycloak和OIDC令牌刷新
我目前正在使用多个Quarkus服务和Keycloak RBAC开发一个PoC。工作起来就像一个魅力，很容易引导和开始实现功能。
但我遇到了一个我无法解决的问题。想象一下：
-
null
- 使JWT的持续时间超过当前的30分钟，但这只是推迟了问题并打开了一些安全门
- 将用户的输入存储在本地存储器中，以便在令牌刷新后进行恢复（我们也会这样做，以避免浪费用户的工作）
- 在JS中“静默”刷新令牌，而不让用户知道。是否有最佳实践？
- 我错过了一些重要的东西，现在internet告诉我一个更好的应用程序体系结构。
谢谢互联网！
共有1个答案
是第3步。在Quarkus 1.5.0中，如果刷新授权成功，添加Quarkus.oidc.token.refresh-expired=true将刷新ID令牌，并扩展用户会话
-
我正在使用Quarkus 1.0.1框架开发一套微服务。我希望使用KeyCloak8.0.1作为我的身份提供程序来保护这些信息。我已经在一个Docker容器中启动并运行了Keycloak，并为我的微服务配置了一个领域和相应的客户机。现在我到了我想保护他们的地步，我遇到了一个问题。 我的REST服务没有为它配置的注释或任何授权要求。这应该意味着，即使我没有经过身份验证，我也能够访问该服务。但是，当我
-
我想使用谷歌作为OIDC协议的id提供商。我有一个简单的应用程序。它启动，正确地重定向到谷歌，然后返回到应用程序，打印用户详细信息并将其存储在会话中。但是，这种身份验证似乎来自id令牌，并且只有1h的过期时间 我的YML：
-
我已经阅读了JWT和访问令牌和刷新令牌。我知道您必须在很短的时间（分钟）内设置访问令牌过期，并在过期时使用刷新令牌获取新的访问令牌。 我不清楚三件事： 谁检查访问令牌是否过期？客户端是否通过发送过期的访问令牌和刷新来检查并请求新的访问代码？ 谁检查刷新令牌是否过期？（显然刷新令牌也需要过期，尽管需要更长的时间才能过期）。 在我看来，如果刷新令牌过期，则必须提示用户重新登录。在某些情况下（移动应用）
-
我正在构建一个使用JWT进行身份验证的应用程序。我开始做一些研究，但对于诸如刷新令牌和令牌存储之类的主题缺乏共识，我感到惊讶。 据我所知，JWT和OAuth是两个不同的协议，它们遵循不同的规范。 但我的问题是，对于一个没有通过第三方资源服务器如Google、Facebook等认证的应用程序，有一个刷新令牌真的有用吗？为什么不让JWT令牌像刷新令牌一样持续时间长。 另一方面，我可以看到，如本文所述，
-
这是我的身份验证流程： 用户登录后收到两个令牌（具有过期时间的访问令牌和没有过期时间的刷新令牌） 对于每个用户，刷新令牌存储在数据库中名为refreshTokens的json列中（这是一个数组） 在客户端，访问令牌和刷新令牌都存储在本地存储器上 当需要验证用户时，如果访问令牌过期，将使用刷新令牌创建一个新的访问令牌，并将其发送回用户并保持用户登录 当用户注销时，数据库中存储的刷新令牌（在refre
-
null 很抱歉太啰嗦了。 提前谢了。