Node.js集成Keycloak 23.0.1遇403权限拒绝问题求助

核心问题分析 #

从提供的配置和Token信息来看，主要存在以下几个可能导致403的点：

1. Token受众（aud）验证不匹配 #

你的keycloak.json中开启了verify-token-audience: true，但解码后的Token的aud字段仅为account，未包含客户端IDmushgpt。当开启受众验证时，Keycloak会强制检查Token的受众是否包含当前客户端ID，不匹配会直接返回403。

解决步骤：

• 临时关闭verify-token-audience（设为false）测试是否恢复正常；
• 若要保留受众验证，在Keycloak控制台的mushgpt客户端配置中：
  • 进入「Scope」标签页，开启「Full Scope Allowed」；
  • 或手动添加mushgpt客户端角色到默认范围，确保获取Token时aud字段包含mushgpt。

2. 角色保护的正确调用方式 #

你的keycloak.json设置了use-resource-role-mappings: true，这意味着权限校验会优先使用客户端角色而非领域角色。结合Token信息，用户同时拥有领域角色seeker和客户端mushgpt的seeker角色，可尝试以下写法：

// 仅检查客户端mushgpt下的seeker角色
router.get('/user', keycloak.protect('mushgpt:seeker'), function(req, res){
    res.send("Hello User");
});

// 或同时检查领域和客户端角色
router.get('/user', keycloak.protect(['realm:seeker', 'mushgpt:seeker']), function(req, res){
    res.send("Hello User");
});

3. Keycloak初始化配置路径问题 #

你的keycloakConfig.js中初始化Keycloak时未显式指定配置文件路径，可能存在配置读取失败的情况。建议手动传入配置对象或指定路径：

// 方式1：直接传入配置对象
const keycloakConfig = {
  "realm": "myrealm",
  "auth-server-url": "http://entheo.info/",
  "ssl-required": "external",
  "resource": "mushgpt",
  "verify-token-audience": true,
  "credentials": {
    "secret": "wzIGQrl8R11Go4utvCRHIJlJPgaw83"
  },
  "use-resource-role-mappings": true,
  "confidential-port": 0
};

_keycloak = new Keycloak({ store: memoryStore }, keycloakConfig);

4. 客户端角色映射确认 #

在Keycloak控制台再次确认：

• 客户端mushgpt的「Roles」标签下已创建seeker角色；
• 目标用户的「Role Mappings」中，已将mushgpt客户端的seeker角色分配给用户（而非仅领域角色）。

内容的提问来源于stack exchange，提问作者AZZAD AAMIR