Spring集成Keycloak多角色（AND）校验方法咨询

直接使用Spring Security表达式组合 #

Spring Security支持在表达式中用逻辑运算符and组合多个hasRole()，这是最快捷的实现方式，无需额外扩展：

1. 方法级注解校验 #

在Controller方法上直接使用：

@GetMapping("/api/resource")
@PreAuthorize("hasRole('read') and hasRole('write')")
public ResponseEntity<String> getProtectedResource() {
    return ResponseEntity.ok("仅同时拥有read和write角色可访问");
}

2. 配置类全局拦截 #

在Spring Security配置类的HttpSecurity中设置：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
        .antMatchers("/api/resource/**")
        .access("hasRole('read') and hasRole('write')")
        .anyRequest().authenticated();
}

自定义hasAllRoles()表达式（可选，复用性更高） #

如果需要频繁使用多角色同时校验的逻辑，可以自定义一个类似hasAllRoles()的表达式，统一复用：

1. 自定义表达式根类，继承SecurityExpressionRoot并添加方法：

public class CustomSecurityExpressionRoot extends SecurityExpressionRoot implements MethodSecurityExpressionOperations {
    public CustomSecurityExpressionRoot(Authentication authentication) {
        super(authentication);
    }

    public boolean hasAllRoles(String... roles) {
        for (String role : roles) {
            if (!hasRole(role)) {
                return false;
            }
        }
        return true;
    }

    // 实现MethodSecurityExpressionOperations所需的基础方法
    @Override
    public Object getThis() { return this; }
    @Override
    public void setThis(Object target) {}
    @Override
    public <T> T filter(T filterTarget, Expression filterExpression) { return null; }
    @Override
    public <T> T wrapAsPrivileged(Object target, Expression filterExpression, Class<T> returnType) { return null; }
}

2. 注册自定义表达式处理器：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MethodSecurityConfig extends GlobalMethodSecurityConfiguration {
    @Override
    protected MethodSecurityExpressionHandler createExpressionHandler() {
        DefaultMethodSecurityExpressionHandler handler = new DefaultMethodSecurityExpressionHandler();
        handler.setSecurityExpressionRootFactory(authentication -> new CustomSecurityExpressionRoot(authentication));
        return handler;
    }
}

3. 使用自定义表达式：

@PreAuthorize("hasAllRoles('read', 'write')")
public ResponseEntity<String> getProtectedResource() {
    return ResponseEntity.ok("仅同时拥有read和write角色可访问");
}

关于配置文件实现的说明 #

确实无法仅通过application.properties或Keycloak配置文件实现多角色同时拥有的校验，因为Keycloak提供的配置项（如keycloak.securityConstraints[0].authRoles）仅支持多角色的或逻辑（用户拥有任意一个角色即可访问），所以必须通过Spring Security的表达式或自定义逻辑实现与校验。

内容的提问来源于stack exchange，提问作者Ger Man