使用keycloak的安全节点后端API

Question

我正在实现一个Nodejs后端API。其中一些需要在访问之前进行身份验证。为此，我选择密钥斗篷服务器作为身份服务器。我使用npm keycloak-connect库来集成节点服务器和密钥斗篷服务器。现在身份验证很好。

问题是，当我使用'http://localhost:8080/auth/realms/test-realm/protocol/openid连接/注销此API。密钥斗篷服务器表示令牌不再有效。但当我使用相同的take访问节点服务器时，它将该令牌作为有效令牌。

'use strict';

const Keycloak = require('keycloak-connect');
const express = require('express');
var cors = require('cors')
const app = express();

app.use(cors())


var keycloakConfig ={
  "realm": "test-realm",
  "auth-server-url": "http://localhost:8080/auth",
  "ssl-required": "external",
  "resource": "test-dev-api",
  "public-client": true,
  "confidential-port": 0
}

var keycloak = new Keycloak({},keycloakConfig);

app.use( keycloak.middleware( { logout: '/logout'} ));

app.get('/secured-echo', keycloak.protect(), function(req,resp) {
  resp.send("Secured Hello");
});

//unprotected route
app.get('/echo', function(req,resp) {
  console.log(keycloakConfig)
  console.log(keycloak)
  resp.json({"say": "hello"});
});

app.listen(4000, function () {
  console.log('Listening at port:4000');
});

Answer 1

我觉得你应该用< code > app . use(key cloak . middleware({ logout:'/logout ' })；之前的这个

app.listen(4000, function () {
  console.log('Listening at port:4000');
});

Answer 2

您的应用程序使用Express，它维护自己的会话并与Keycloak令牌同步这些会话。因此，在Keycloak上注销不会告诉Express您已注销。随后，您仍然可以登录到您的应用程序。

在您的代码中，您指定了以下内容:

app.use( keycloak.middleware( { logout: '/logout'} ));

这是您的应用程序上要在Express应用程序中注销的URL。使用它而不是直接注销Keycloak。然后，密钥斗篷中间件将在Keycloak中注销。它将类似于

http://localhost:4000/logout