Keycloak与Node.js集成遇400错误及权限问题求助

一、核心问题定位 #

• 角色名称不匹配：代码中使用keycloak.protect('client-wib-user')和client-wib-admin，但实际创建的Client角色是client-tst-user、client-tst-admin，这是权限校验失败的直接原因。
• 授权流程冲突：同时启用了直接访问授权和标准流程，代码使用基于session的标准授权流程，但测试用密码模式获取Token，两种流程混用导致invalid_code错误。

二、分步解决方案 #

1. 修正角色名称匹配问题 #

将代码中受保护路由的角色参数替换为实际创建的角色名：

// 修正前
app.get('/service/secured', keycloak.protect('client-wib-user'), function (req, res) {
  res.json({message: 'secured'});
});

app.get('/service/admin', keycloak.protect('client-wib-admin'), function (req, res) {
  res.json({message: 'admin'});
});

// 修正后
app.get('/service/secured', keycloak.protect('client-tst-user'), function (req, res) {
  res.json({message: 'secured'});
});

app.get('/service/admin', keycloak.protect('client-tst-admin'), function (req, res) {
  res.json({message: 'admin'});
});

2. 统一授权流程 #

选项A：标准授权流程（浏览器访问场景）

• 保持Keycloak客户端标准流程启用，关闭直接访问授权避免冲突
• 访问受保护路由会自动跳转Keycloak登录页，登录后即可正常访问，无需手动获取Token
• 验证用户角色映射：在Keycloak控制台确认用户已关联client-tst-user或client-tst-admin角色

选项B：密码模式（API服务调用场景）

若需用CURL获取Token后访问API，修改代码适配Bearer Token认证：

const express = require('express');
const bodyParser = require('body-parser');
const Keycloak = require('keycloak-connect');
const cors = require('cors');

const app = express();
app.use(bodyParser.json());
app.use(cors());

// 移除session相关代码，直接初始化Keycloak
const keycloak = new Keycloak({}, './keycloak.json');

app.use(keycloak.middleware({
  logout: '/logout'
}));

// 受保护路由使用修正后的角色名
app.get('/service/secured', keycloak.protect('client-tst-user'), function (req, res) {
  res.json({message: 'secured'});
});

app.get('/service/admin', keycloak.protect('client-tst-admin'), function (req, res) {
  res.json({message: 'admin'});
});

app.listen(3000, function () {
  console.log('Started at port 3000');
});

访问API时在请求头携带Token：

curl -H "Authorization: Bearer <YOUR_ACCESS_TOKEN>" http://localhost:3000/service/secured

3. 验证Keycloak配置正确性 #

• 确认keycloak.json中resource字段与客户端IDtst-api完全一致
• use-resource-role-mappings设为true，确保使用客户端角色校验
• 重定向URLhttp://localhost:3000/*配置正确，保证登录后正常回调

三、自定义Access Denied页面 #

通过全局错误处理中间件覆盖默认权限拒绝响应：

// 自定义权限拒绝处理
app.use(function(err, req, res, next) {
  if (err.statusCode === 403) {
    // 返回自定义JSON响应
    res.status(403).json({
      code: 'ACCESS_DENIED',
      message: '您没有访问该资源的权限',
      details: '请联系管理员获取相应权限'
    });
    // 若需返回HTML页面，替换为以下代码
    // res.status(403).sendFile(path.join(__dirname, 'custom-403.html'));
  } else {
    next(err);
  }
});

内容的提问来源于stack exchange，提问作者tiamat