为什么 Keycloak 使用 Session-Cookie 而不是 JWT Authorization Header

Question

我将 Keycloak 用于微服务架构。 当我想访问受保护的资源时，我会看到 Keycloak 登录表单并且可以登录。登录后我会被重定向到该资源。在请求标头中，我可以看到标头 Cookie: mongo-express=s%3AVpTxrBrZp_bb1kpZOuCo6nitgpTzI0YJ.6OS1ttu4hjcnut%2FG6zdyDnLk2B%2FrEmMEEw9jy2rCUrE; SESSION=510eb294-493e-4cb6-9cb8-1e09604a7fc7 已设置。 当我尝试使用 Authorization: Bearer ... 标头访问资源时（例如，来自 Postman 的先前 requestet JWT），我无法访问该资源。相反，我再次看到登录表单。

如何配置 Keycloak 以在登录后使用 JWT 而不是标头中的 Session 或至少接受带有 Bearer 令牌的 Authorization 标头？

Answer 1

你写：

当我想访问受保护的资源时，我会看到 Keycloak 登录表单并可以登录。登录后我会被重定向到该资源。

这让我假设您正在使用浏览器并发出 GET 请求。我假设浏览器正在使用OAuth 2.0 Authorization Code Grant Type，因此令牌在客户端（Web 服务器）和 Keycloak 服务器之间交换。而不是在网络浏览器和网络服务器之间。这是开发“受保护资源”的团队做出的决定，而不是您可以在不更改“受保护资源”的源代码的情况下更改的决定。

你也写：

在请求标头中，我可以看到标头 Cookie: mongo-express=s%3AVpTxrBrZp_bb1kpZOuCo6nitgpTzI0YJ.6OS1ttu4hjcnut%2FG6zdyDnLk2B%2FrEmMEEw9jy2rCUrE; SESSION=510eb294-493e-4cb6-9cb8-1e09604a7fc7 已设置。

如果您从头开始浏览器表单（或在 Chrome 中使用“新隐身窗口”或在 Firefox 中使用“新私人窗口”），我很确定您会在对第一个 GET 请求的响应中看到受保护的资源，您会在服务器 response 中找到Set-Cookie HTTP 标头（可能是重定向到 OAuth2 服务器的标头）。这就是受保护资源管理其会话的方式。对此你无能为力，我很害怕。