如何获取Keycloak中admin-cli的RPT？已设公开客户端仍报错

你的问题核心在于：Keycloak Authz Client库默认可能会尝试发送客户端密钥，即便你已经配置了"public-client": true。由于admin-cli是公开客户端（Public Client），它本身不需要密钥，我们需要调整代码或请求逻辑来适配这个特性。

解决方案1：调整Authz Client代码，明确告知客户端无需密钥 #

修改你的代码，在AuthorizationRequest中指定客户端ID，并将客户端密钥设为空字符串，同时确保Authz Client正确加载了public-client: true的配置：

@GetMapping("rpt") 
public String token() { 
    var username = environment.getProperty("authServer.admin.username"); 
    var password = environment.getProperty("authServer.admin.password"); 
    
    AuthorizationRequest req = new AuthorizationRequest();
    // 指定公开客户端的ID
    req.setClientId("admin-cli");
    // 公开客户端不需要密钥，设为空字符串
    req.setClientSecret("");
    
    // 执行授权请求
    AuthorizationResponse res = this.authzClient.authorization(username, password).authorize(req); 
    return res.getToken(); 
}

另外请确认你的authzClient已经正确加载了包含"public-client": true的Keycloak配置，确保它识别到这是一个公开客户端，不会强制要求密钥。

解决方案2：直接调用Keycloak REST API获取RPT #

如果Authz Client库的行为不符合预期，你可以绕过它，直接发送HTTP请求到Keycloak的令牌端点获取RPT，这种方式更灵活直观：

@GetMapping("rpt")
public String getRptViaRest() {
    String tokenUrl = "http://localhost:8180/auth/realms/master/protocol/openid-connect/token";
    
    MultiValueMap<String, String> params = new LinkedMultiValueMap<>();
    params.add("grant_type", "password");
    params.add("username", environment.getProperty("authServer.admin.username"));
    params.add("password", environment.getProperty("authServer.admin.password"));
    params.add("client_id", "admin-cli");
    params.add("scope", "openid urn:ietf:params:oauth:grant-type:uma-ticket");
    params.add("response_mode", "token");

    HttpHeaders headers = new HttpHeaders();
    headers.setContentType(MediaType.APPLICATION_FORM_URLENCODED);

    HttpEntity<MultiValueMap<String, String>> request = new HttpEntity<>(params, headers);
    ResponseEntity<String> response = restTemplate.postForEntity(tokenUrl, request, String.class);

    // 解析响应获取RPT（可使用Jackson等JSON工具类优化解析逻辑）
    JSONObject jsonResp = new JSONObject(response.getBody());
    return jsonResp.getString("access_token"); // 此处的access_token即为RPT
}

前置检查项 #

在尝试以上方案前，请确认：

• Keycloak控制台中，master域下的admin-cli客户端访问类型已设置为public；
• 客户端的Direct Access Grants Enabled选项已开启（密码模式依赖该配置）；
• 你使用的用户名/密码拥有足够权限（比如属于admin角色）来获取RPT。

内容的提问来源于stack exchange，提问作者Muhammed Ozdogan