如何用PowerShell脚本绕过Keycloak登录直接访问指定页面？

1. 确认资源服务器的API端点正确性 #

你当前访问的$server_location/item/?item_id=$itemID可能是前端页面路由，而非后端API接口。这类页面通常会触发浏览器登录重定向，不会接受Bearer Token验证。

• 核实目标服务的专属API接口地址，一般会带有/api或类似前缀（例如$server_location/api/item/?item_id=$itemID），用该地址重新测试。

2. 验证Token有效性与权限 #

先检查Token是否有效 #

通过Keycloak的Token introspect接口验证生成的AccessToken：

$IntrospectEndpoint = "$server_location/auth/realms/$key_cloak_client/protocol/openid-connect/token/introspect"
$IntrospectResult = Invoke-RestMethod -Uri $IntrospectEndpoint -Method POST -Body @{
   token          = $AccessTokenClient
   client_id      = <Client_ID>
   client_secret  = <Client_Secret>
}

# 输出Token有效性状态
Write-Host "Token是否有效: $($IntrospectResult.active)"
# 输出Token包含的角色权限
Write-Host "Token角色: $($IntrospectResult.realm_access.roles)"

如果active返回False，说明Token生成过程存在问题，检查Client ID、Client Secret和Realm名称是否准确。

确认Token拥有资源访问权限 #

• 登录Keycloak控制台，找到对应客户端，进入Service Account Roles标签页，确认已分配访问目标资源所需的角色（如item:read这类权限角色）。
• 检查请求的Scope是否匹配资源服务器要求，openid profile是通用身份信息Scope，可能需要替换为资源服务器对应的专属Scope（比如资源服务器的Client ID）。

3. 修正请求头格式 #

HTTP头虽不区分大小写，但部分服务器对Authorization头的大小写有严格要求，将请求头的键名改为首字母大写：

$HeaderClient = @{
   "Accept"        = "application/json"
   "Authorization" = "Bearer $AccessTokenClient" # 改为大写的Authorization
}

4. 检查Keycloak客户端配置 #

• 确认客户端的Access Type设置为confidential，public类型客户端无法使用客户端凭证模式。
• 开启客户端的Service Accounts Enabled选项，这是客户端凭证模式的必要配置项。

5. 核实资源服务器的Keycloak集成配置 #

• 检查资源服务器是否正确配置了Keycloak的Realm信息、客户端ID，且启用了Bearer Token验证机制（而非仅支持浏览器重定向登录）。
• 确保资源服务器能访问Keycloak的JWKS端点（$server_location/auth/realms/$key_cloak_client/protocol/openid-connect/certs），用于验证Token签名。

内容的提问来源于stack exchange，提问作者dds