Keycloak多门店场景下用户角色切换Token获取方案咨询

可行方案一：利用Refresh Token换取目标门店客户端的Token #

你已经通过公共客户端获取了初始JWT，可借助该token的refresh_token直接换取对应门店客户端的access token，无需重新登录：

1. 确保公共客户端已开启offline_access权限（或至少包含refresh_token scope），且用户在目标门店客户端下已配置对应角色。
2. 调用Keycloak的Token端点，传入以下参数：

   POST /realms/{你的Realm名}/protocol/openid-connect/token
   Content-Type: application/x-www-form-urlencoded
   
   grant_type=refresh_token
   client_id={目标门店客户端ID}
   refresh_token={初始登录获取的refresh_token}
   

   若公共客户端为public类型，无需传入client_secret；若为confidential类型则需补充该参数。
3. 接口返回的access token将包含该门店客户端下的用户角色，可直接用于后续权限校验。

可行方案二：优化重定向登录流程（无感知切换门店） #

之前重定向失败可能是参数配置有误，正确的无感知切换方式是利用Keycloak的已有会话，避免重复登录：

1. 用户通过公共客户端登录并获取门店列表后，选择目标门店。
2. 构造Keycloak授权URL，核心参数如下：

   https://{Keycloak域名}/realms/{你的Realm名}/protocol/openid-connect/auth?
   client_id={目标门店客户端ID}
   redirect_uri={你的Blazor应用回调地址}
   response_type=code
   scope=openid
   prompt=none
   

   • prompt=none：告知Keycloak用户已登录，无需重新输入凭证
   • 确保目标门店客户端的redirect_uri已添加到Keycloak的客户端配置中
3. 跳转至该URL后，Keycloak会直接返回授权码，前端通过授权码换取目标门店的access token。

可选方案：简化客户端设计（用领域角色/组替代多客户端） #

若维护大量门店客户端成本过高，可调整方案：

• 用领域角色定义权限（如收银员、店主），给用户分配角色时附加门店ID属性；
• 或创建门店组，每个组对应一个门店，将角色分配到组，用户加入对应门店组；
• 初始登录后，token会包含用户的所有角色/组信息，前端/后端根据当前选中的门店筛选出对应权限即可。

是否需要自定义认证流程？ #

上述方案足以覆盖你的场景，无需自定义Keycloak认证流程。仅当你需要更复杂的逻辑（如自动根据上下文切换门店、自定义权限校验规则）时，才考虑开发自定义Authenticator扩展Keycloak。

内容的提问来源于stack exchange，提问作者Andrew Shaw