Keycloak Session and Token Timeout：客户端登录超时

Question

我们目前正在验证我们的 Keycloak 会话和令牌超时设置，以排除潜在的错误。我认为默认配置应该适用于我们的用例。

我认为唯一令人担忧的值是 "Client login timeout"，我们将其设置为 1 分钟（如文档的屏幕截图所示）。 文档 here 指出：客户端登录是客户端必须在 OIDC 中完成授权代码流的最长时间。

我读过，但我不明白...我猜文档副本是从 redhat 文档中粘贴过来的 here（反之亦然），但那里也没有详细的解释。

所以我的问题实际上是：什么是 "client login timeout" 以及它的默认值是什么？对我来说，一个完美的答案就是在失败时从用户的角度描述工作流程（比如用户在点击电子邮件验证之前喝了 1 分钟咖啡 link 等）and/or a link 进一步阅读

Answer 1

简单来说就是客户端获取Access Token所花费的时间。

这是客户端完成授权码流程的最长时间。授权代码流程中涉及的步骤可以在 OIDC 规范中找到。

https://openid.net/specs/openid-connect-core-1_0.html#CodeFlowSteps

1. 客户端准备包含所需请求参数的身份验证请求。
2. 客户端向授权服务器发送请求。
3. 授权服务器对最终用户进行身份验证。
4. 授权服务器获取最终用户Consent/Authorization。
5. 授权服务器将最终用户与授权码一起发送回客户端。
6. 客户端在令牌端点使用授权码请求响应。
7. 客户端收到响应正文中包含 ID 令牌和访问令牌的响应。
8. 客户端验证 ID 令牌并检索最终用户的主题标识符。