Keycloak：验证用Java编写的Rest API

Question

我想针对Keycloak服务器（KS）验证Rest服务（RS）。

例如，RS是通过应用程序（APP）而非浏览器访问的。

到目前为止，我已经知道进行的方式如下：

1. APP正在针对KS进行身份验证并获得ACCESS_TOKEN。
2. APP正在通过某种方式通过ACCESS_TOKEN向RS发送请求。
3. RS正在提取ACCESS_TOKEN并对其进行验证/解码，以获取与用户相关的所需信息。

我很难找到合适的JAVA API来执行步骤（3）。

到目前为止，我已经使用TokenVerifier（使用KS的RSA公共密钥进行设置）“验证”了令牌=> TokenVerifier.verify（）。验证后，我将对其进行解析以对其进行解码。到目前为止一切顺利。

我要实现的另一步骤是确保ACCESS_TOKEN在KS中仍然有效。但是我没有为此目的找到任何JAVA API。因此，我改为使用ACCESS_TOKEN向UserInfo端点发出了常规HTTP请求。

那么有没有JAVA API来检查ACCESS_TOKEN的有效性？

我适合这种情况吗？

Answer 1

您可以通过调用内省端点来验证访问令牌，也可以使用auth0库在本地对其进行验证。

密钥斗篷docs中的更多信息