如何让Keycloak REST API的UserRepresentation响应包含clientRoles

当调用 GET https://my-keycloak/admin/realms/test-realm/users 获取用户列表时，Keycloak默认返回的是精简版的UserRepresentation，不会包含clientRoles属性——这是因为客户端角色属于用户的关联角色映射数据，默认接口为了性能不会主动返回这类关联信息。

要实现返回clientRoles，可以通过以下两种方式：

方式1：分步查询用户的客户端角色 #

Keycloak提供了单独的接口来获取用户的客户端角色映射，步骤如下：

1. 先调用用户列表接口获取所有用户的基础信息：

   GET /admin/realms/test-realm/users
   

2. （可选）如果需要指定客户端的角色，先调用客户端列表接口获取目标客户端的ID：

   GET /admin/realms/test-realm/clients
   

3. 对每个用户ID，调用角色映射接口获取其在指定客户端的角色：

   GET /admin/realms/test-realm/users/{user-id}/role-mappings/clients/{client-id}
   

   如果需要获取用户在所有客户端的角色，循环遍历所有客户端ID执行上述请求即可。

方式2：自定义Keycloak扩展（SPI）返回clientRoles #

如果需要在用户列表接口中直接返回clientRoles，可以通过Keycloak的SPI扩展功能实现：

• 编写AdminResourceProvider扩展，拦截用户列表的请求处理逻辑
• 在扩展中，为每个用户查询其对应的客户端角色数据，添加到返回的UserRepresentation对象中
• 将扩展打包部署到Keycloak的providers目录，重启Keycloak生效

注意：你之前手动添加的用户属性属于用户自定义属性，和客户端角色（clientRoles）是完全不同的概念——客户端角色是存储在Keycloak的角色映射体系中的，并非用户的自定义属性，因此添加角色映射不会影响自定义属性的返回。

内容的提问来源于stack exchange，提问作者Daniel Santos