键斗篷内省endpoint

Question

我正在尝试从我的前端应用程序访问KeyClope服务器/openid connect/token/introspect中的introspectendpoint，但我遇到下一个错误：

Access to fetch at 'http://localhost:8180/auth/realms/backoffice/protocol/openid-connect/token/introspect' from origin 'http://localhost:8080' has been blocked by CORS policy: 
Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource. 
If an opaque response serves your needs, set the request's mode to 'no-cors' to fetch the resource with CORS disabled.

使用邮递员，卷曲或节点应用程序此请求工作正常，但从我的前端应用程序使用获取方法会出现此错误。我不确定是否可以从浏览器中的前台应用程序查询内省endpoint，或者是否只能从服务器应用程序查询。

其他endpoint，如：

• openid连接/令牌：
• openid连接/用户信息：

使用Postman JS代码工作正常。

我在Key斗篷的客户已经设置了Web源*和访问类型机密。

我的前端应用程序就是Postman代码JS，我使用nodehttpserver部署它。

var myHeaders = new Headers();
myHeaders.append("Content-Type", "application/x-www-form-urlencoded");

var urlencoded = new URLSearchParams();
urlencoded.append("client_id", "my-client");
urlencoded.append("client_secret", "my-secret");
urlencoded.append("token", "eyJ...oCA");

var requestOptions = {
  method: 'POST',
  headers: myHeaders,
  body: urlencoded,
  redirect: 'follow'
};

fetch("http://localhost:8180/auth/realms/backoffice/protocol/openid-connect/token/introspect", requestOptions)
  .then(response => response.text())
  .then(result => console.log(result))
  .catch(error => console.log('error', error));

userinfoendpoint中的头响应带有访问控制允许源和访问控制允许凭据，但在内省endpoint中不存在。

Answer 1

从外观上看，KeyCloak服务器阻止为内省终结点设置CORS标头。这可能是一个错误或设计。我试过了，我得到了同样的错误。

如果你真的想从web应用程序访问内省endpoint，你可以在你的KeyClope服务器前设置一个NGINX反向代理，并使用它添加缺少的头。

尽管如此，根据oauth的说法。com你不应该让内省endpoint对公众开放，这是你目前正在做的事情，因为任何人都可以从你的web应用中检索客户端id和密码。

如果内省终结点处于打开状态且未受到限制，则攻击者可以轮询终结点以获取有效令牌。为了防止这种情况，服务器必须要求对使用endpoint的客户端进行身份验证，或者仅通过防火墙等其他方式使endpoint对内部服务器可用。

这可以解释为什么决定不允许CORS。

另一件事，您似乎忘记设置token\u type\u提示查看此stackoverflow帖子以了解更多信息。