使用 Keycloak SSO 在 2 个应用程序之间保持身份验证

Question

我有 2 个 JHipster 应用程序在一个子域（app1.domain.tld 和 app2.domain.tld）上运行。

在这两个应用程序中，用户都通过 Keycloak 登录。顺序是这样的：

1. Angular 应用向 Keycloak 发送带有凭据的 /authenticate 请求
2. 如果响应成功，则返回身份验证 cookie
3. POST 请求被发送到生成 JSessionID cookie 的 Jhipster 后端应用程序
4. JSessionID 然后用于对支持的应用程序的每个请求。

如果用户已经登录域 (*.domain.tld) 的其中一个应用程序，那么自动登录用户（无需询问用户名和密码）的最佳方式是什么？

我尝试将 JSessionID 用作全局令牌，然后才明白它仅适用于生成它的应用程序...

也许捕获 Keycloak 身份验证 cookie（在第 2 步返回）并在第二个应用程序上进行身份验证可以解决问题？

根据我在测试时看到的情况，在第一个应用程序上通过身份验证后，当我转到第二个应用程序时，Angular 401 HTTP 拦截器会重定向到带有会话令牌的 keycloak 登录页面。因此，那时 Keycloak 应该会看到我已经登录并且应该将我重定向到我的第二个应用程序的主页。

我说的对吗？

Answer 1

javascript adapter 通过创建从身份验证服务器加载的 iframe 来解决此问题。

来自keycloak docs：

会话状态 iframe

默认情况下，JavaScript 适配器会创建一个隐藏的 iframe，用于检测是否发生了单点注销。这不需要任何网络流量，而是通过查看特殊状态 cookie 来检索状态。可以通过在传递给 init 方法的选项中设置 checkLoginIframe: false 来禁用此功能。您不应依赖于直接查看此 cookie。它的格式可以改变，并且它还与 Keycloak 服务器的 URL 相关联，而不是您的应用程序。

init函数的成功回调有一个参数，给出用户的认证状态。

<script src="keycloak.js"></script>
<script>
    var keycloak = Keycloak();
    keycloak.init().success(function(authenticated) {
        alert(authenticated ? 'authenticated' : 'not authenticated');
    }).error(function() {
        alert('failed to initialize');
    });
</script>

如果用户通过身份验证，则将用户重定向到登录页面，因为用户已经通过身份验证，因此无需再次输入登录凭据。如果使用 onload 选项 check-sso 进行初始化，适配器可以自动处理此问题

有关javascript适配器内部工作原理的更多详细信息，可以找到源代码here