Как клиент Keycloak проверяет токен

Question

Я хотел бы знать, как клиент Keycloak проверяет токен, кроме проверки подписи. Я имею в виду, что если пользователь отправил запрос на выход в конечную точку OID '/ logout', проверка подписи токена все равно пройдет, поэтому, если токен был признан недействительным при выходе из системы, клиент должен go к K C сервер. Итак, мой вопрос: клиент go для Keycloak проверяет, что токен все еще действителен, для каждого запроса, который получает мое приложение?

Answer 1

В OID C обычно токен не проверяется активно, каждый раз отправляя его на сервер keycloak. Вместо этого токен проверяется только локально (путем проверки подписи с помощью сервера publi c key).

Итак, вы правы, клиент не сразу распознает выход из системы.

Из-за этого у вас часто возникает поток, в котором вы различаете guish между refresh и access токен. access_token имеет очень короткий срок службы (<= 5 минут), используется для аутентификации пользователя и проверяется с помощью проверки подписи. Когда <code>access_token больше не действителен, клиент должен использовать refresh_token, чтобы активно получить новый access_token из keycloak. На этом этапе keycloak проверит, вошел ли пользователь в систему, прежде чем выдавать новый токен.

Из-за этого refresh_token может иметь гораздо более длительный срок службы, и пользователю не всегда необходимо повторно вводить свои учетные данные.