oauth-2.0 - 在 Keycloak 中禁用刷新令牌

Question

我们有一个由 OIDC 使用隐式流授权的 Angular SPA。我们使用 Keycloak 作为我们的授权服务器。访问令牌的生命周期很短，并通过隐藏的 iframe 定期刷新。

在阅读授权代码流程 + PKCE 是授权 SPA 的新推荐方式后，我们决定切换流程。一切正常，但每次调用 Token-Endpoint 时，Keycloak 都会给我们一个 Refresh Token（连同 Access 和 ID-Token）。由于没有安全的方式来存储刷新令牌，我们想继续使用隐藏的 iframe 方法来刷新访问令牌。

有没有办法在 Keycloak 中禁用刷新令牌？还是我们错过了什么？可以在 SPA 中存储刷新令牌吗？

标签： oauth-2.0single-page-applicationkeycloakopenid-connect

Answer 1

更新版本的 Keycloak 在“OpenID Connect Compatibility Modes”部分下的客户端级别实现了此功能。

我已经使用 14.x 版本进行了验证。