KeyClope与浏览器身份验证流的集成

Question

我目前正在使用定制的AuthenticationProvider实现将Key斗篷集成到一个相当复杂的spring boot应用程序环境中（因此我不使用Key斗篷AuthenticationProvider）。在我的例子中，我的目标是将OIDC身份验证协议与Browserflow一起使用。

因此，当客户机导航到我的spring应用程序的登录页面时，他会被重定向到KeyClope登录页面。这已经奏效了。

在那里，一旦他进行身份验证，他就会被重定向回初始应用程序页面。这就是我为如何继续而苦苦挣扎的地方。

一旦KeyClope将我重定向回我的应用程序，向我的应用程序发出GET请求，并指定session_state和code参数。我假设这些可能可以用于在进一步的通信中验证客户端，但我不确定我的假设是否正确，如果正确，我将如何使用这些值。遗憾的是，我无法在文档中找到这些信息。。。

所以我的问题是：

1. 对于基于浏览器的OIDC身份验证，我的方法正确吗
2. 假设session_state和code变量可以帮助我在web应用程序中验证客户端，我的假设正确吗
3. 如何使用这些值进行身份验证

我希望我能提前表达我的奋斗和感谢

Answer 1

Keycloak将用户重定向到您的应用程序后，您将接收到的代码交换为访问和id令牌。访问令牌用于对资源服务器的请求。

要交换授权码，请使用此请求：

curl --request POST \
  --url 'https://KEYCLOAK/auth/realms/REALM/protocol/openid-connect/token' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data grant_type=authorization_code \
  --data 'client_id=CLIENT_ID' \
  --data client_secret=CLIENT_SECRET \
  --data code=CODE \
  --data 'redirect_uri=REDIRECT_URI'

如果是公共客户，请省略client_secret。

在这里你可以阅读更多关于Authorized Code（浏览器）flow：https://www.keycloak.org/docs/latest/server_admin/index.html#authorization-code-flow