KeyClope：ajax调用过期后刷新访问令牌

Question

我在这里和这里面临着同样的问题，但他们没有得到回答，我有更多的信息和不同的设置，所以它不会重复。

我有一个Spring boot 1.5.13应用程序，使用带有keycloak 3.4.3服务器的Spring Security适配器。一切正常，但当我在5分钟后向应用程序发出ajax请求而没有重新加载页面时，响应返回401错误。我知道这是因为访问令牌已过期。

文件说明如下：

令牌最短生存时间在密钥斗篷服务器过期之前，用密钥斗篷服务器抢先刷新活动访问令牌的时间量，以秒为单位。当访问令牌被发送到另一个REST客户机时，这一点尤其有用，因为它可能会在评估之前过期。此值不应超过域的访问令牌寿命。这是可选的。默认值为0秒，所以只要访问令牌过期，适配器就会刷新它。

文档在这里

我已经更改了KeyClope中令牌最短生存时间的默认值。但是我不工作。

{
"realm": "APPS",
"auth-server-url": "http://localhost:9100/auth",
"ssl-required": "external",
"resource": "WebApp",
"public-client": true,
"confidential-port": 0,
"use-resource-role-mappings": true,
"principal-attribute":"preferred_username",
"token-minimum-time-to-live" : 15
}

所以我认为我在Spring Security适配器配置中遗漏了一些东西：

@Configuration
@EnableWebSecurity
@ComponentScan(basePackageClasses = KeycloakSecurityComponents.class)
public class SecurityConfig extends KeycloakWebSecurityConfigurerAdapter {

@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws   
Exception {

KeycloakAuthenticationProvider keycloakAuthenticationProvider = 
keycloakAuthenticationProvider();

keycloakAuthenticationProvider.setGrantedAuthoritiesMapper(new 
SimpleAuthorityMapper());
    auth.authenticationProvider(keycloakAuthenticationProvider);
}

@Bean
@Override
protected SessionAuthenticationStrategy sessionAuthenticationStrategy() {
    return new RegisterSessionAuthenticationStrategy(new SessionRegistryImpl());
}

@Bean
ServletListenerRegistrationBean<HttpSessionEventPublisher> getHttpSessionEventPublisher() {
    return new ServletListenerRegistrationBean<HttpSessionEventPublisher>(new HttpSessionEventPublisher());
}



@Override
protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    http
    .logout()
    .logoutRequestMatcher(new AntPathRequestMatcher("/sso/logout")) 
    .and()
    .authorizeRequests()
    .antMatchers("/Portal/**").hasRole("App_Access")
    .anyRequest().permitAll()                
    .and()
    .headers().frameOptions().sameOrigin()
    ;
  }
}




Answer 1

问题是，即使你延长了这个时间，你仍然会在更长的时间后面临这个问题。

如果您创建的每一个ajax请求都通过“自动刷新/重新加载”页面以本机方式对这些401请求做出反应，您会选择这样做吗？如果您的令牌仍然可以刷新，它将由适配器向auth服务器的反向通道请求自动刷新（页面刷新后）；如果由于您超过了刷新令牌的有效期而无法刷新令牌，那么您的应用程序将被重定向到@auth server user login页面。

这对你有帮助吗？在这种情况下，您可能需要稍微修改页面，以便在401 ajax请求后重新加载页面后，该“失败的请求”会在页面重新加载后自动重复（只有这一次，access_令牌才会刷新或完全过期）。

如果一切正常，最终用户要么不会注意到页面重新加载，一切正常，要么会被重定向到凭证输入页面。

希望有帮助

编辑：

至于“令牌最短生存时间”和其他令牌配置选项，您是否直接尝试了@Realm-

我相信这个问题和你的有关