16.12. 被破坏的访问和刷新令牌

Red Hat build of Keycloak 包括几个阻止恶意的攻击程序无法窃取访问令牌和刷新令牌的操作。关键操作是强制红帽构建的 Keycloak 及其客户端和应用程序之间的 SSL/HTTPS 通信。默认情况下，Red Hat build of Keycloak 不会启用 SSL。

降低泄漏访问令牌损坏的另一个操作是缩短令牌的寿命。您可以在 超时页面中 指定令牌生命周期。访问令牌的简短生命周期用于强制客户端和应用在短时间内刷新其访问令牌。如果管理员检测到泄漏，管理员可以注销所有用户会话，使这些刷新令牌无效，或设置撤销策略。

确保刷新令牌始终与客户端保持私有，且永远不会传输。

您可以通过发布这些令牌作为密钥令牌来减轻泄漏访问令牌的破坏和刷新令牌。如需更多信息，请参阅 OAuth 2.0 通用 TLS 客户端证书 Bound 访问令牌。

如果访问令牌或刷新令牌被破坏，请访问管理控制台，并将非之前撤销策略推送到所有应用。推送非前面的策略可确保在该时间变得无效之前发出的任何令牌。推送一个新的 not-before 策略可确保应用程序必须从红帽构建的 Keycloak 下载新的公钥，并缓解损坏的域签名密钥的破坏。如需更多信息，请参阅 密钥 章节。

您可以禁用特定的应用程序、客户端或用户（如果被入侵）。