Keycloak配置SSO时，合法角色用户无法跨应用登录问题

问题核心 #

你遇到的问题本质是：自定义浏览器流里的角色校验步骤，在SSO会话复用阶段没有正确加载用户的全量角色权限。当userA从已登录的appA跳转到appB时，Cookie校验通过后，角色校验环节仅读取了当前客户端（appB）的局部角色数据，没有拉取用户从群组继承的roleB，因此触发「access denied」。

修复方案 #

1. 修改角色校验执行器配置 #

在自定义流的「角色校验」步骤中，调整两个关键设置：

• 勾选**「检查所有角色来源」**（Keycloak后台对应选项为Check all role sources），确保校验时会扫描用户直接分配的角色、群组继承的角色、Realm/客户端级角色等所有权限来源
• 根据你的角色级别（Realm级/客户端级），将**「角色来源」**设置为对应选项（比如你的roleA/roleB是Realm角色，就选Realm Roles）

2. 优化流的执行顺序 #

当前流的逻辑是「Cookie检查 → 角色校验」，但SSO会话复用时，Keycloak不会自动重新加载用户的全量角色。可以调整流结构：

• 在Cookie校验通过后，添加一个**「加载用户信息」**内置执行器（Keycloak自带的User Info步骤），强制在复用会话时重新拉取用户的群组和角色数据
• 确保角色校验步骤在用户信息加载完成后执行

3. 验证客户端与角色映射配置 #

• 检查appA和appB的客户端设置：开启**「Full Scope Allowed」**，或者在「Scope」中手动添加对方客户端的角色权限（如果是客户端级角色）
• 确认群组角色映射生效：在userA的详情页「Role Mappings」中，查看是否同时显示roleA和roleB，确保群组继承的角色已正确同步到用户

4. 调试验证 #

• 开启Keycloak调试日志：将org.keycloak.authentication日志级别设为DEBUG，查看角色校验环节的日志，确认用户的角色列表是否包含目标角色
• 登录appA后，访问Keycloak账户页面（/realms/{你的Realm名}/account），检查用户的角色列表是否同时包含roleA和roleB，验证角色继承是否正常

内容的提问来源于stack exchange，提问作者Sara Vaseei