无法从Keycloak获取JWT，无法访问需ADMIN权限的Products页面

1. 核对Keycloak客户端配置差异 #

• 检查Products模块对应Keycloak客户端的Authorization Enabled状态，和Customer模块客户端配置做对比，确保基础权限策略配置一致。
• 确认Products客户端的Valid Redirect URIs、Web Origins是否包含当前应用访问地址，避免因跨域或重定向限制导致Token获取失败。
• 检查客户端Scope配置：确保Products客户端已添加roles、openid等必要Scope，且客户端Scope中realm roles的Include in token scope选项已勾选。

2. 对比Token请求参数差异 #

• 对比Customer和Products模块的Token请求参数：
  • 确认client_id是否正确对应Products模块的客户端ID，避免误用Customer的客户端ID导致权限范围不匹配。
  • 检查请求的scope参数是否包含openid和roles，缺少roles会导致Token中不携带ADMIN角色信息。
  • 验证grant_type是否一致（如password或authorization_code），不同授权类型返回的Token权限范围可能存在差异。

3. 解析Token内容校验权限信息 #

• 用JWT解析工具分别解析两个模块返回的Token：
  • 检查realm_access.roles字段是否包含ADMIN角色，若Products的Token中无该字段，说明Keycloak未正确注入角色信息。
  • 对比resource_access字段，确认Products客户端对应条目下是否包含ADMIN角色，缺失则需在Keycloak客户端权限设置中添加角色映射。

4. 检查Products模块权限校验逻辑 #

• 核对权限拦截代码：
  • 确认校验逻辑是否正确读取Token中的realm_access.roles或resource_access.xxx.roles字段，避免因路径误读导致ADMIN角色不被识别。
  • 和Customer模块的校验代码做对比，确保角色校验逻辑一致，比如是否使用相同的@PreAuthorize("hasRole('ADMIN')")注解或过滤器规则。
  • 检查过滤器执行顺序，确保Token解析过滤器在权限校验过滤器之前运行，避免未解析Token就执行权限判断。

5. 查看Keycloak服务器日志定位问题 #

• 登录Keycloak管理后台查看Realm日志：
  • 搜索Products客户端的请求记录，排查是否存在invalid_scope、permission_denied等错误日志，定位角色映射或Scope配置问题。
  • 查看Token生成日志，确认ADMIN角色是否被正确添加到Token中。

6. 测试最小权限场景 #

• 创建仅拥有ADMIN角色的测试用户，分别请求两个模块：
  • 若测试用户仍无法访问Products，说明问题出在客户端或角色映射配置；若可访问，则排查原用户的角色继承或权限冲突问题。
  • 在Keycloak中为Products客户端添加ADMIN角色的默认映射，测试是否能正常获取带角色的Token。

内容的提问来源于stack exchange，提问作者Christophe