Keycloak+Spring Boot角色授权失效排查求助

核心问题定位 #

浏览器Cookie中存储的Access Token未包含admin领域角色，导致Spring资源服务器解析用户权限时无法识别该角色，返回403错误。而Keycloak impersonate生成的令牌包含角色，说明用户角色分配本身没问题，问题出在客户端令牌获取配置或Spring权限解析逻辑。

分步解决方法 #

1. 修正Keycloak客户端配置 #

打开Keycloak控制台，进入目标领域的客户端设置：

• 确保Full Scope Allowed设置为On，让客户端自动获取所有可用领域角色；若关闭该选项，需手动在Client Scopes中把Keycloak内置的roles scope添加到客户端的Assigned Scopes列表。
• 进入客户端的Realm Roles页面，将admin角色添加到Assigned Roles中，确保客户端有权限获取该角色。
• 确认客户端Access Type为confidential（适配后端服务场景），并确保授权码/密码等所需授权流程已启用。

2. 调整Spring Security的JWT权限解析逻辑 #

由于未使用Keycloak适配器，需手动配置Spring Security OIDC资源服务器，从JWT的realm_access.roles字段提取角色：

修改SecurityConfig类，添加自定义JWT转换器：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/debug/admin").hasAuthority("ROLE_admin")
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .jwtAuthenticationConverter(customJwtConverter())
                )
            );
        return http.build();
    }

    private JwtAuthenticationConverter customJwtConverter() {
        JwtGrantedAuthoritiesConverter authorityConverter = new JwtGrantedAuthoritiesConverter();
        // 指定从JWT的realm_access.roles字段读取角色
        authorityConverter.setAuthoritiesClaimName("realm_access.roles");
        // 为角色添加ROLE_前缀，适配Spring Security的权限命名规则
        authorityConverter.setAuthorityPrefix("ROLE_");

        JwtAuthenticationConverter jwtConverter = new JwtAuthenticationConverter();
        jwtConverter.setJwtGrantedAuthoritiesConverter(authorityConverter);
        return jwtConverter;
    }
}

3. 验证application.yml资源服务器配置 #

确保Spring正确指向Keycloak的令牌验证端点：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          # 替换为你的Keycloak领域地址
          issuer-uri: http://keycloak-server:8080/auth/realms/your-realm-name
          # JWKS端点可自动从issuer-uri推导，也可手动指定
          jwk-set-uri: ${spring.security.oauth2.resourceserver.jwt.issuer-uri}/protocol/openid-connect/certs

4. 确认令牌获取与传递 #

• 检查浏览器Cookie中存储的是否为Access Token（而非ID Token）：ID Token通常更短且不包含角色信息。若使用Spring OAuth2 Login，需确保登录流程获取并存储Access Token，请求资源时通过Authorization: Bearer <token>头或正确的Cookie传递令牌。
• 用jwt.io解析实际获取的Access Token，确认payload中存在realm_access.roles数组且包含admin角色。若令牌中无该字段，回到Keycloak客户端配置重新检查权限范围。

内容的提问来源于stack exchange，提问作者Hendrik Hübner