Keycloak API仅对admin-CLI客户端生效，自定义客户端请求报403问题排查

核心差异出在Keycloak客户端配置和Token权限声明上，以下是具体原因和排查方向：

1. 权限范围（Scope）没配全 #

admin-CLI默认关联了realm-management相关的管理权限范围，自定义客户端大概率没加这些必要权限：

• 去自定义客户端的Client Scopes里，添加realm-management下的对应权限（比如view-users、view-clients、view-roles）。
• 获取Token时，必须在请求里带上这些scope参数，比如scope=openid view-users view-clients。

2. Token里缺权限声明 #

解码两个Token对比就能发现：

• admin-CLI的Token里，realm_access.roles或resource_access字段肯定包含realm-management下的权限角色（比如view-users）。
• 自定义客户端的Token里没有这些内容，Keycloak自然会返回403。

3. 客户端类型或服务账户配置问题 #

• admin-CLI是Confidential类型，这类客户端能安全访问admin API；如果自定义客户端是Public类型，Keycloak会限制它访问敏感的admin接口，哪怕Token有权限也没用。
• 如果用服务账户模式（不是用户密码登录），admin-CLI默认开了Service Accounts，还给服务账户分配了admin或realm-management权限；自定义客户端可能没开Service Accounts Enabled，或者开了也没给服务账户加对应权限。

4. 用户本身的权限不足 #

你用的是相同用户凭证，但要确认这个用户有没有被分配realm-management下的相关角色（比如view-users）。admin-CLI可能默认用的是超级管理员用户，而你的自定义客户端请求时，用户权限不够。

快速排查步骤 #

1. 对比两个Token的realm_access和resource_access字段，看自定义客户端的Token缺哪些权限。
2. 给自定义客户端加realm-management的客户端作用域，同时确保用户有对应角色。
3. 获取Token时明确指定scope，示例请求：

   POST http://localhost:8080/realms/{realm}/protocol/openid-connect/token
   Content-Type: application/x-www-form-urlencoded
   
   grant_type=password
   client_id=你的自定义客户端ID
   client_secret=你的客户端密钥（Confidential类型才需要）
   username=用户名
   password=密码
   scope=openid view-users view-clients view-roles
   

内容的提问来源于stack exchange，提问作者shAkur