Keycloak：验证用JAVA编写的Rest API

Question

我想针对Keycloak服务器（KS）验证Rest服务（RS）。

RS是通过应用程序（APP）访问的，而不是浏览器。

到目前为止，我已经了解了继续进行的方法如下：

1. APP正在针对KS进行身份验证并获取ACCESS_TOKEN。
2. APP正以某种方式通过ACCESS_TOKEN向RS发送请求。
3. RS正在提取ACCESS_TOKEN并对其进行验证/解码以获得与用户相关联的所需信息。

我很难找到合适的JAVA API来执行步骤（3）。

到目前为止，我已经使用TokenVerifier“验证”了令牌（使用KS的RSA公钥进行设置）=> TokenVerifier.verify（）。一旦验证，我正在解析它以使用它来解码它。到现在为止还挺好。

我想要实现的另一个步骤是确保ACCESS_TOKEN在KS中仍然有效。但是我没有为此目的找到任何JAVA API。因此，我使用ACCESS_TOKEN向UserInfo端点发出了常规HTTP请求。

那么有没有任何JAVA API来检查ACCESS_TOKEN的有效性？

我是否为这种情况做了正确的事情？

Answer 1

您可以通过调用Introspection Endpoint验证访问令牌，也可以使用auth0库对其进行本地验证。

有关keycloak docs的更多信息