Express Node.js应用中Keycloak.protect()返回403访问拒绝的排查

解决步骤（Keycloak管理控制台操作） #

1. 确认客户端核心配置正确

登录Keycloak管理控制台，进入目标Realm，找到Clients→选中tender客户端：

• Access Type必须设为confidential：配置中使用了客户端secret，仅confidential类型客户端支持secret认证。
• Verify Token Audience保持开启：对应配置里的verify-token-audience: true，需确保令牌的aud字段包含tender（即配置的resource值），可在客户端Settings标签页确认Audience设置包含tender。
• Valid Redirect URIs：纯后端服务（bearerOnly模式）可设为/*或留空，避免错误的访问限制。

2. 配置适配use-resource-role-mappings: true的角色映射

配置中use-resource-role-mappings为true，意味着应用仅识别该客户端专属的角色映射，而非Realm全局角色：

1. 创建客户端角色：进入Clients→tender→Roles，点击「Add Role」创建角色（如api-access）。
2. 给用户分配客户端角色：进入Users→找到目标用户→Role Mappings，在Client Roles下拉框选中tender，将api-access添加到用户的Assigned Roles中。
3. （可选）复用Realm角色：要么将use-resource-role-mappings改为false，要么在Clients→tender→Role Mappings中，把Realm角色映射到该客户端角色列表。

3. 检查细粒度授权策略（若启用policy-enforcer）

配置中包含policy-enforcer节点，若无需细粒度权限控制，直接删除该节点即可避免干扰；若需使用则：

• 进入Clients→tender→Authorization标签页，检查Policies和Permissions是否存在拒绝访问的规则，调整或删除不合理策略。

4. 验证令牌内容

拿到登录后的Bearer令牌，用jwt.io解码确认：

• aud字段包含tender，与配置的resource一致；
• resource_access.tender.roles数组中包含分配的客户端角色；
• iss字段为http://localhost:8080/realms/realm，与auth-server-url匹配。

5. 额外排查点

• 移除Session中间件：bearerOnly: true模式下，Keycloak仅验证Bearer令牌，Session中间件可能造成干扰，可尝试移除后测试。
• 同步服务器时钟：确保Keycloak与Express应用所在服务器时钟一致，时钟偏差可能导致令牌被判定为过期。

内容的提问来源于stack exchange，提问作者user23984730