如何在Node.js的keycloak.protect()中设置多个角色？

你直接传入角色数组['user','admin']的方式是错误的，keycloak.protect()并不支持这种参数格式，这会导致角色校验被忽略，退化为仅验证令牌有效性的模式。

正确实现多角色（任一角色即可访问） #

传入包含roles字段的配置对象，指定允许的角色列表：

app.get('/api/protected-resource', 
  keycloak.protect({ roles: ['user', 'admin'] }),
  (req, res) => {
    res.json({ message: '仅user或admin角色可访问此API' });
  }
);

实现多角色（需同时拥有所有角色） #

通过链式调用多个keycloak.protect()中间件，实现逻辑与的角色校验：

app.get('/api/secure-resource', 
  keycloak.protect('user'),
  keycloak.protect('admin'),
  (req, res) => {
    res.json({ message: '需同时拥有user和admin角色才可访问此API' });
  }
);

区分Realm角色与客户端角色 #

如果需要明确指定角色类型，可添加前缀：

• Realm角色：keycloak.protect({ roles: ['realm:user', 'realm:admin'] })
• 客户端角色：keycloak.protect({ roles: ['your-client-id:user', 'your-client-id:admin'] })

内容的提问来源于stack exchange，提问作者pasquy73