Repository navigation
🐛 [BUG] - jwt expired récurrent : le client n'actualise pas le token avant les requêtes API #2591
Description
Activity
Enquête — cause racine
Contrat : chaque requête API transporte un access token Keycloak valide.
Observé : le serveur (keycloak-jwt.service.ts,verifyAsync) rejette avecjwt expired.Cause racine —
apps/client/src/api/xhr-client.ts:24: le fetcher litkeycloak.tokendirectement, sans attendre un rafraîchissement. Le rafraîchissement repose uniquement sur :- le timer passif
onTokenExpired(utils/keycloak/keycloak.ts:40) ; - un contournement
setTimeoutdansonAuthSuccess(keycloak.ts:35).
Les deux sont asynchrones et sujets aux courses : onglet en arrière-plan (throttling des timers), requête émise près de l'expiration. De plus,
extractData(401) ne déclenchelogin()que si!keycloak.authenticated— une session authentifiée mais au token expiré échoue en boucle.Solution proposée
Un seul changement au point de passage unique (le fetcher) :
const keycloak = getKeycloak() await keycloak.updateToken(30) // no-op si validité > 30 s ; rafraîchit sinon if (keycloak.token) { args.headers.Authorization = `Bearer ${keycloak.token}` }
Test de régression : vérifier que le fetcher attend
updateTokenavant de lire.tokenquand la validité est sous le seuil.- le timer passif
Description
Le serveur rejette périodiquement des requêtes authentifiées avec l'erreur
jwt expired, alors que la session utilisateur est toujours active côté client.Le client (
apps/client/src/api/xhr-client.ts) attachekeycloak.tokensans appelerkeycloak.updateToken()au préalable.Le rafraîchissement ne s'effectue que via le timer passif
onTokenExpiredet un contournement dansonAuthSuccess: toute requête émise à proximité de l'expiration — ou après une période d'onglet inactif (timers throttlés par le navigateur) — transporte un JWT déjà expiré.Le gestionnaire 401 (
extractData) ne redirige vers le login que si!keycloak.authenticated; il ne tente jamais de rafraîchir le token.Etapes de reproduction
jwt expiredCaptures d'écran
Logs
Navigateurs
Tous
OS
Tous
Version de la console impactée
apps/client (xhr-client) avec apps/server-nestjs (KeycloakJwtService)
Définition du fini