如何获取可访问Keycloak特定资源的所有用户？

现有API组合查询（无需扩展） #

Keycloak默认管理API没有直接提供“资源+权限范围→用户列表”的接口，但可以通过组合多个API步骤实现：

• 1. 获取目标资源的ID：调用客户端授权资源API，筛选出目标资源，记录其id和关联的权限范围（scope）
• 2. 筛选关联该资源与scope的权限：调用客户端授权权限API，过滤出resource.id匹配目标资源ID且scopes包含指定范围的权限项，记录这些权限关联的policy.id
• 3. 解析关联策略：针对每个策略ID，查询策略详情，根据策略类型做不同处理：
  • 用户策略（user-policy）：直接提取策略中的users字段（用户ID列表），再调用用户API获取用户详细信息
  • 角色策略（role-policy）：获取策略关联的角色ID，再调用角色用户关联API，获取所有拥有该角色的用户（包含继承角色的用户）
  • 组策略（group-policy）：获取策略关联的组ID，调用组用户API，获取该组及子组下的所有用户
  • 逻辑策略（logic-policy）：需要自行解析AND/OR逻辑，递归处理子策略的用户集合
• 4. 去重合并：将所有来源的用户ID去重，得到最终可访问资源的用户列表

SPI扩展（更高效的长期方案） #

如果需要频繁执行这类查询，建议通过Keycloak SPI扩展自定义API：

• 实现RealmResourceProvider接口，创建自定义REST端点
• 在端点实现中注入AuthorizationManager、UserProvider、GroupProvider等核心服务，直接访问Keycloak内部的授权模型数据
• 封装策略解析逻辑（包括逻辑策略、继承关系等），直接返回整理好的用户列表
• 打包成JAR部署到Keycloak的providers目录，重启后即可通过自定义端点调用

总结 #

• 临时需求或低频次查询：用现有API组合的方式即可满足，无需额外开发
• 长期业务需求或高频查询：自定义SPI扩展更高效，且逻辑封装更清晰

内容的提问来源于stack exchange，提问作者Elia