反应式 spring 云安全（使用 Keycloak）：会话过期？

我尝试实现以下内容：我想要一个带有一个或多个 spring 云网关的分布式环境，在这些网关后面是几个（部分）对外暴露的微服务。对于用户身份验证，我想使用 OIDC（刚刚移至 Keycloak）。

我实际上只是坚持使用 spring security、webflux 和 boot 参考文档中的标准配置。

详细地说，我在网关中有：

private final ReactiveClientRegistrationRepository clientRegistrationRepository;

@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
    http
            .csrf().disable()
            .authorizeExchange()
            .pathMatchers("/login").permitAll()
            .pathMatchers("/actuator/**").permitAll()
            .anyExchange().authenticated()
            .and()
            .oauth2Login()
            .and()
            .logout(logout -> logout.logoutSuccessHandler(oidcLogoutSuccessHandler()));
    return http.build();
}

    private ServerLogoutSuccessHandler oidcLogoutSuccessHandler() {
    OidcClientInitiatedServerLogoutSuccessHandler oidcLogoutSuccessHandler =
            new OidcClientInitiatedServerLogoutSuccessHandler(clientRegistrationRepository);

    oidcLogoutSuccessHandler.setPostLogoutRedirectUri(URI.create("https://<host>/login?logout"));

    return oidcLogoutSuccessHandler;
}

使用 application.yml（仅必不可少的部分）：

spring:
  cloud:
    gateway:
      default-filters: 
        - TokenRelay=
        - RemoveRequestHeader=Cookie
      discovery:
        locator:
          enabled: true
    consul:
      host: 127.0.0.1
      port: 8500
    loadbalancer:
      ribbon:
        enabled: false
  security:
    oauth2:
      client:
        provider:
          keycloak:
            issuer-uri: ${KEYCLOAK_ISSUER_URI}
        registration:
          keycloak:
            client-id: ${KEYCLOAK_CLIENT_ID}
            client-secret: ${KEYCLOAK_CLIENT_SECRET}
      resourceserver:
        jwt:
          jwk-set-uri: ${KEYCLOAK_ISSUER_URI}/protocol/openid-connect/certs
server:
  forward-headers-strategy: framework

对于概念证明，我有一个“环境测试应用程序”，控制器只是将声明作为 json 返回。它的配置如下：

@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
    http
            .authorizeExchange()
            .pathMatchers("/actuator/**").permitAll()
            .anyExchange().authenticated()
            .and()
            .oauth2ResourceServer()
            .jwt(Customizer.withDefaults());

    return http.build();
}

application.yml 只包含上面的 consul 和 security 部分。

基本上这是有效的。如果我尝试访问环境测试应用程序，我会被重定向到 Keycloak，我必须输入我的凭据并被重定向回环境测试应用程序并查看声明。我可以通过“/logout”退出。

问题：keycloak 会话过期 5 分钟后，我收到 401，chrome 显示“此页面无法正常工作”。即使我一直在重新加载（用户活动），也会发生这种情况。

据我了解，会议应该：

• 只要有活动就可以扩展（我认为这是刷新令牌的用途，并假定 spring 安全性会自动处理此问题）
• 当用户一段时间不活动时过期。当用户再次处于活动状态时，他/她应该被重定向到登录名，然后返回到原始资源。
• 当点击“记住我”时，过期的会话应该在没有用户活动的情况下重新启动（我认为，这就是来自 Keycloak 的离线令牌的用途）。

我想这一切都可以通过添加一些简单的配置行来实现，我只是想不通。参考文档对我来说并不完全清楚，但我觉得默认情况下这一切都是这样处理的。然而，事实并非如此。

注意：我使用的是带有默认 Reactor Netty 的 spring 反应式堆栈。因此，既不能使用 spring 安全性，也不能使用 Keycloak 提供的 spring boot 插件。另外，我不清楚它们如何与标准配置方案交互。

注意：在我用 okta 尝试所有这些之前（使用他们的启动器）。上面描述的问题似乎神奇地与 okta 一起工作。但是，我遇到了不同的问题，因此现在转向开源。