Quarkus集成Keycloak获取用户信息及权限问题排查

一、启用Policy Enforcer后403/401问题排查与解决 #

1. 核对Quarkus与Keycloak Realm的核心配置 #

确保application.properties中以下配置与导师提供的Realm完全匹配：

# Keycloak服务器地址
quarkus.keycloak.auth-server-url=http://你的Keycloak地址/auth
# 导师提供的Realm名称
quarkus.keycloak.realm=你的Realm名
# 对应客户端ID
quarkus.keycloak.client-id=你的客户端ID
# 若为机密客户端，填写客户端秘钥
quarkus.keycloak.credentials.secret=你的客户端秘钥

2. 配置Policy Enforcer的资源权限规则 #

Policy Enforcer默认会严格保护所有API路径，需为/api/users/me配置明确的访问规则，避免无权限拦截。在application.properties中添加：

# 配置/api/users/me的访问规则
quarkus.keycloak.policy-enforcer.paths[0].path=/api/users/me
# 强制启用规则（默认值为ENFORCING，可省略）
quarkus.keycloak.policy-enforcer.paths[0].enforcement-mode=ENFORCING
# 允许已认证用户访问（对应Token需包含openid scope）
quarkus.keycloak.policy-enforcer.paths[0].scopes=openid
# 或者限制特定角色访问（若Realm中有对应角色）
# quarkus.keycloak.policy-enforcer.paths[0].roles-allowed=user

3. 验证请求Token的有效性 #

• 使用jwt.io解析请求携带的Token，确认：
  • iss字段与Keycloak服务器地址一致
  • realm_access.roles包含你配置的允许角色（若配置了角色限制）
  • scope字段包含openid等必要权限
• 确保Token未过期，且签名有效

二、获取用户信息与userId的方案 #

1. 修复UserResource获取用户信息的问题 #

当Policy Enforcer配置正确后，SecurityIdentity可正常注入。若需更直接获取用户数据，可结合JsonWebToken读取：

@Path("/api/users")
public class UserResource {
    @Inject
    SecurityIdentity identity;
    @Inject
    JsonWebToken jwt;

    @GET
    @Path("/me")
    @NoCache
    public User me() {
        String userName = identity.getPrincipal().getName();
        String userId = jwt.getSubject(); // Keycloak用户唯一ID
        String email = jwt.getClaim("email"); // 可选：获取用户邮箱等扩展信息
        
        return new User(userName, userId);
    }

    public static class User {
        private final String userName;
        private final String userId;

        User(String userName, String userId) {
            this.userName = userName;
            this.userId = userId;
        }

        public String getUserName() {
            return userName;
        }

        public String getUserId() {
            return userId;
        }
    }
}

2. 获取userId的两种常用方式 #

• 直接从JsonWebToken获取（推荐）：调用jwt.getSubject()，Keycloak生成的JWT中sub字段即为用户唯一ID
• 通过KeycloakPrincipal强转获取：

KeycloakPrincipal<KeycloakSecurityContext> kcPrincipal = 
    (KeycloakPrincipal<KeycloakSecurityContext>) identity.getPrincipal();
String userId = kcPrincipal.getKeycloakSecurityContext().getToken().getSubject();

内容的提问来源于stack exchange，提问作者Kipje