Keycloak基于资源的角色权限配置未生效问题咨询

核心问题 #

你当前的配置仅完成了身份认证（验证用户为合法登录用户），但未对接Keycloak的授权服务校验用户是否拥有接口访问权限。Keycloak控制台配置的资源、策略、权限不会自动生效，需要应用端主动触发权限校验逻辑。

为什么manager用户能访问？ #

• Spring Cloud Gateway仅通过TokenRelay转发JWT令牌至Developer服务；
• Developer服务仅验证JWT的合法性（确认是Keycloak签发的有效令牌），未校验用户角色是否匹配接口要求；
• Keycloak的授权规则（资源、策略、权限）存储在Keycloak内部，需要应用主动调用Keycloak的授权接口或通过适配器集成来触发校验。

遗漏的配置步骤 #

1. 确认Keycloak Client开启授权功能

进入Keycloak控制台，找到你的test_client：

• 切换到Authorization标签页；
• 确认Enabled选项已勾选（创建资源时应已开启，建议再次检查）。

2. 选择权限校验层级（二选一即可）

方案一：在Developer服务层做方法级权限校验

适合资源服务自主管控权限，配置简单直接：

• 在Developer服务启动类添加注解，启用方法级安全：

  @SpringBootApplication
  @EnableGlobalMethodSecurity(jsr250Enabled = true) // 开启JSR-250注解支持
  class DeveloperApplication
  
  fun main(args: Array<String>) {
      runApplication<DeveloperApplication>(*args)
  }
  

• 在接口方法上添加角色校验注解：

  @RestController
  @RequestMapping("/developers")
  class DevelopController {
      // ...
  
      @GetMapping
      @RolesAllowed("developer") // 仅允许拥有developer角色的用户访问
      fun findAll(authentication: Authentication) = developers.entries
  
      // ...
  }
  

• 确保JWT令牌包含角色信息：
  进入Keycloak控制台的test_client → Client Scopes → 选择test_client-dedicated或默认roles scope → Mappers → 添加User Realm Role映射器，确保角色被包含在JWT的realm_access.roles字段中。

方案二：在Spring Cloud Gateway层做全局权限校验

适合统一管控所有后端服务权限，减少资源服务配置量：

• 修改Gateway的application.yml，将其配置为OAuth2资源服务器（保留原有客户端配置），并添加Keycloak授权过滤器：

  spring:
    security:
      oauth2:
        client:
          # 保留原有client配置...
        resourceserver:
          jwt:
            issuer-uri: http://localhost:8080/realms/TestRealm
    cloud:
      gateway:
        routes:
          - id: developer
            uri: lb://DEVELOPER
            predicates:
              - Path=/developer/**
            filters:
              - TokenRelay=
              - KeycloakAuthorization= # 添加Keycloak授权过滤器
  

• 给Gateway添加Keycloak网关适配器依赖（以Gradle为例）：

  implementation 'org.keycloak:keycloak-spring-cloud-gateway-adapter'
  

  配置完成后，Gateway会在转发请求前调用Keycloak授权接口，校验当前用户是否拥有访问/developer/**资源的权限。

关于“仅靠Keycloak控制台实现拦截”的问题 #

不行。Keycloak仅负责存储授权规则并提供校验接口，必须由应用端（Gateway或资源服务）主动发起权限校验请求，才能触发拦截逻辑。控制台的配置只是规则定义，无法直接作用于应用的请求链路。

内容的提问来源于stack exchange，提问作者SergeBud