Keycloak：公开应用Access Token转RPT Token及权限提取问题

能不能从Access Token中提取授权权限？ #

可以，但取决于你的Keycloak配置和Access Token的内容：

• 若Keycloak启用了Authorization Services并配置了资源权限，且在SPA客户端的Authorization设置里开启了Embed authorization data in token选项，那么Access Token的authorization字段会包含permissions数组，里面直接存储用户的授权权限（如资源、范围信息）。
• 你可以用本地JWT解码库解析Access Token，查看是否存在该字段。如果有，直接提取即可；如果没有，说明权限未嵌入Access Token，需要通过RPT获取。

为什么后端用SPA的Access Token调用RPT接口验证失败？ #

核心原因是SPA作为公共客户端获取的Access Token，与机密客户端的RPT获取流程要求不匹配：

1. 受众（aud）不匹配：SPA的Access Token受众是你的API客户端或Keycloak的OpenID Connect端点，而RPT接口要求Token的受众是Keycloak的Authorization服务，直接导致验证失败。
2. 缺少机密客户端凭据：获取RPT的urn:ietf:params:oauth:grant-type:uma-ticket流程，需要同时提供**机密客户端的身份凭证（client_id + client_secret）**和用户的Access Token。你后端仅传递用户的Access Token，Keycloak无法验证客户端身份，因此拒绝请求。
3. 客户端类型限制：直接授权的应用是机密客户端，可通过自身凭据+用户凭证获取带权限的Token；而SPA是公共客户端，无法安全存储client_secret，Keycloak对其Token的使用场景做了限制。

解决方案 #

方案1：直接从Access Token提取权限（若可行） #

1. 登录Keycloak控制台，找到SPA客户端，进入Authorization -> Settings。
2. 开启Embed authorization data in token选项。
3. 重新登录SPA获取新的Access Token，解码后从authorization.permissions中提取权限信息。

方案2：正确调用RPT接口获取权限 #

后端调用RPT接口时，需同时携带机密客户端凭据和用户Access Token：

• 请求示例（表单格式）：

  POST /realms/{你的Realm}/protocol/openid-connect/token
  Content-Type: application/x-www-form-urlencoded
  
  grant_type=urn:ietf:params:oauth:grant-type:uma-ticket
  client_id=你的机密客户端ID
  client_secret=你的机密客户端密钥
  token=用户的Access Token
  

• 可选添加response_mode=permissions参数，仅返回权限列表而非完整RPT。

方案3：检查客户端权限配置 #

• 确保机密客户端在Authorization -> Resources中配置了对应资源和范围。
• 确保SPA用户被分配了这些资源的权限（在Authorization -> Policies或Permissions中配置）。

内容的提问来源于stack exchange，提问作者Timofey Borisov