21、Keycloak会话与令牌管理全解析

Keycloak会话与令牌管理全解析

1. 客户端会话失效与重新认证

当客户端会话失效时，与单点登录（SSO）会话不同，如果用户的 SSO 会话未过期，用户不一定需要重新认证，但客户端需要重新认证以获取新的令牌集。客户端会话过期时，可能会将用户重定向到认证系统，这在用户使用浏览器时可能会对用户体验产生一定影响。

默认情况下，认证系统为 SSO 会话定义了相同的配置集来控制客户端会话的生命周期。通过将“客户端会话空闲时间”和“客户端会话最大时长”设置为非零值，可以为客户端会话定义不同的生命周期。

会话生命周期应在考虑安全性、性能和用户体验的前提下尽可能短。较短的生命周期可以减少会话劫持攻击或令牌泄露、被盗的影响，避免服务器因无用户活动的会话而过载，节省服务器资源。但过短的会话生命周期会直接影响用户体验，增加用户重新认证的频率。在以用户为中心的方法中，应先考虑对用户最有利的设置，再根据安全要求和硬件、基础设施资源的限制调整会话生命周期。

2. 管理活动会话

认证系统为管理员提供了不同级别的会话可追溯性和可见性：
- 按领域（Realm）
- 按客户端（Client）
- 按用户（User）

管理员还可以在每个客户端的基础上覆盖“客户端会话最大时长”和“客户端会话空闲时间”设置。

2.1 领域级别查看活动会话统计

在领域级别，管理员可以查看每个客户端的活动会话数量统计。操作步骤如下：
1. 点击左侧面板上的“会话”链接。
2. 从该页面，点击任何客户端以获取其活动会话的更多详细信息。选择客户端后，将被重定向到客户端详细信息页面的“