如何使用 keycloak 保护 angular/spring 应用程序？

Question

我有一个 spring 引导（后端）和 angular（前端）应用程序，我想用 keycloak 保护（用于身份验证）。

我有一个非常基本的部署，其中由 spring 创建的可执行 jar 也服务于客户端代码（来自角度）。

我看过几个教程，前面和后面是分开的，前面使用代码流+pkce将其身份验证委托给keycloak，而后面是无状态的，并检查是否存在经过keycloak实例认证的jwt令牌。

但是，由于我有一个后端服务器，我想避免使用公共客户端，而是依赖服务器端的反向通道令牌交换。 所以前面应该没有keycloak实例的任何知识。

这可能吗/这是最佳实践吗？ 是否有一个前端库可以帮助我实现这一目标？ 我遇到了库 keycloak-angular，但它似乎是针对第一种情况，即 SPA 直接连接到 Keycloak 而不是使用后端服务器。

Answer 1

在这种情况下，您不需要前端库。 在您的前端，您应该只处理用户 session（有一个 session cookie）并每次将 cookie 发送到您的后端。 然后后端服务器应该使用任何 oauth 客户端与您的 keycloak 服务器进行通信，一旦获得令牌，它就可以将它们与 session 的句柄一起保存在数据库中。

下面是这个流程的样子：

1. 请求客户端 -> 后端服务器 -> 向 keycloak 授权端点回复 302。 注册的redirect_uri应该是后端服务器暴露的uri
2. 用户执行身份验证/同意等。
3. Keycloak 使用代码重定向到 redirect_uri
4. 后端接收代码（因为它监听重定向 uri 地址），并与 Keycloak 交换它。
5. 后端接收访问令牌并将其与 session ID 一起保存在数据库中。
6. 当客户端使用其 session 向后端发出另一个请求时，后端会从数据库中选择一个访问令牌并可以调用 API。