使用 Keycloak 刷新令牌

Question

我在 [Keycloak][2] 中使用 [JWT 进行客户端身份验证][1]：

 POST /token.oauth2 HTTP/1.1
 Host: as.example.com
 Content-Type: application/x-www-form-urlencoded

 grant_type=authorization_code&
 code=vAZEIHjQTHuGgaSvyW9hO0RpusLzkvTOww3trZBxZpo&
 client_assertion_type=urn%3Aietf%3Aparams%3Aoauth%3A
 client-assertion-type%3Ajwt-bearer&
 client_assertion=eyJhbGciOiJSUzI1NiJ9.
 eyJpc3Mi[...omitted for brevity...].
 cC4hiUPo[...omitted for brevity...]

我得到：

assess_token
refresh_token
token_type
expires_in

当我尝试刷新令牌时，我发送refresh_token自身，授予类型refresh_token并获取：

    "error": "unauthorized_client",
    "error_description": "INVALID_CREDENTIALS: Invalid client credentials"
}```

when I specify `client_id` I get:

```{
    "error": "invalid_client",
    "error_description": "Parameter client_assertion_type is missing"
}```

If I specify `client_assertion_type` I get error that `client_assertion` itself is missing, so I literally have to provide parameters I provided when retrieved access token.

How that refreshing process actually should work?


  [1]: https://datatracker.ietf.org/doc/html/draft-ietf-oauth-jwt-bearer-12#section-2.2
  [2]: https://www.keycloak.org

Answer 1

这很可能是 Keycloak 定义的限制或策略。RFC7523（用于客户端身份验证的 JWT）允许在存在 JWT 身份验证时启用客户端凭据。这是3.1 中强调的。授权授予处理

JWT 授权授予可以在有或没有客户端身份验证或身份验证的情况下使用。是否需要将客户端身份验证与 JWT 授权授予结合使用，以及支持的客户端身份验证类型，均由授权服务器自行决定。但是，如果请求中存在客户端凭据，授权服务器必须验证它们。

因此，即使Keycloak 支持 JWT 客户端身份验证，它仍然可能需要刷新令牌请求中存在客户端凭据。但这也可能是他们最终的限制。

此外，令牌刷新是通过RFC6749 - OAuth 2.0 授权框架定义的。根据第 6 节，当客户端是机密客户端（只是使用 ID 和密码创建的客户端）时，刷新令牌请求必须包含客户端凭据。如果您看到的不是限制，那么猜测 Keycloak 遵守 RFC6749 并要求您在令牌刷新请求中发送客户端凭据。