26、保障 Keycloak 与应用程序的安全

保障 Keycloak 与应用程序的安全

1. Keycloak 客户端配置

在保障应用程序安全方面，Keycloak 的客户端配置起着关键作用。以下是一些影响安全的 OIDC 客户端配置选项：
| 配置选项 | 说明 | 安全建议 |
| — | — | — |
| Consent required | 若未启用，用户将看不到应用程序获得的访问级别 | 对于第三方应用和 CLI 等原生应用，应启用此选项 |
| Client authentication | 当客户端凭证能安全保存在服务器端时，启用此选项更安全 | 若满足条件，建议启用 |
| Standard flow | 为客户端启用授权码流 | 可根据应用需求启用 |
| Implicit flow | 启用现已弃用的隐式流 | 仅在绝对必要时启用，并计划更新应用以禁用 |
| Direct access grants | 启用现已弃用的资源所有者密码流 | 仅在绝对必要时启用，并计划更新应用以禁用 |
| Valid redirect URIs | 建议使用重定向 URI 的精确匹配，Keycloak 支持通配符，但应避免使用 | 使用精确匹配，如 https://acme.corp/myclient/oauth-callback ；若使用通配符，限制为应用可用的请求，如 https://acme.corp/myclient/* |

2. Keycloak 支持的签名算法

Keycloak 支持多种签名算法，不同算法在安全性和性能上有所差异：
- R