Keycloak Session and Token Timeout：客户端登录超时

Question

我们目前正在验证Keycloak会话和令牌超时设置，以排除潜在的错误。我认为默认配置应该适合我们的用例。

我认为唯一令人担忧的值是“客户端登录超时”，我们将其设置为 1 分钟（如文档的屏幕截图所示）。这里的文档指出：客户端登录是客户端在 OIDC 中完成授权代码流程的最长时间。

我读了它，但我不明白......我猜文档副本是从这里的redhat 文档粘贴的（反之亦然），但那里也没有详细的解释。

所以我的问题实际上是：什么是“客户端登录超时”以及它的一个好的默认值是什么？对我来说，一个完美的答案就是从用户角度描述失败时的工作流程（例如用户在单击电子邮件验证链接之前喝了 1 分钟咖啡等）和/或进一步阅读的链接

Answer 1

简单来说，就是客户端获取访问令牌所花费的时间。

这是客户端必须完成授权代码流程的最长时间。授权代码流程中涉及的步骤可以在 OIDC 规范中找到。

https://openid.net/specs/openid-connect-core-1_0.html#CodeFlowSteps

1. 客户端准备包含所需请求参数的身份验证请求。
2. 客户端将请求发送到授权服务器。
3. 授权服务器对最终用户进行身份验证。
4. 授权服务器获得最终用户同意/授权。
5. 授权服务器将最终用户连同授权代码发送回客户端。
6. 客户端使用令牌端点处的授权代码请求响应。
7. 客户端收到响应正文中包含 ID 令牌和访问令牌的响应。
8. 客户端验证 ID 令牌并检索最终用户的主题标识符。