基于Keycloak的公开客户端细粒度授权问题咨询

• Scope（全局范围）：属于Realm级别的全局权限标识，所有客户端都可引用。比如OIDC标准的openid、profile，或是自定义的manage-content，代表跨客户端的通用权限，是对用户权限的抽象描述。
• Client Scope（客户端范围）：绑定到特定客户端的专属范围，属于客户端级别。可以看作是给目标客户端打包好的一组权限、角色或协议配置集合。比如给SPA客户端创建spa-specific-access的client scope，里面包含该SPA独有的权限，其他客户端无法直接复用。此外，client scope可设置为默认自动附加到客户端的令牌中，无需每次请求显式指定。

公开客户端（如SPA、原生APP）无法安全存储客户端密钥，只能采用authorization_code PKCE模式完成OAuth2流程——没有密钥就无法完成客户端身份的强验证，也就没法申请细粒度的权限令牌。
同时，若给公开客户端开放细粒度授权，一旦令牌泄露，攻击者可直接用令牌访问资源（因为公开客户端没法通过密钥签名来证明请求的合法性），极易引发权限滥用。Keycloak默认对公开客户端做权限管控限制，也是出于安全风险的考量。

• 将资源服务器注册为Keycloak机密客户端：把Spring资源服务器配置成Keycloak的机密客户端，用客户端密钥和Keycloak建立信任，既能安全验证令牌合法性，也能基于Keycloak的授权服务配置细粒度的权限策略。
• 配置角色映射：在Keycloak中把公开客户端的用户角色映射到资源服务器的客户端角色上。比如将公开客户端的spa-user角色映射到资源服务器的resource-viewer角色，这样用户从公开客户端获取的令牌会携带资源服务器的角色信息，资源服务器就能基于这些角色做接口级的权限控制。
• 启用Keycloak授权服务：开启Keycloak的Authorization Services功能，给资源服务器定义具体的资源、权限和策略。公开客户端请求令牌时，通过scope参数指定所需的资源权限，Keycloak会生成包含这些权限的令牌，资源服务器可直接根据令牌内的权限信息判断用户是否能访问特定资源。
• 令牌加密（JWE）：配置Keycloak为公开客户端生成加密的JWT令牌（JWE格式），只有资源服务器持有解密密钥，即使令牌被泄露，攻击者也无法解析出权限内容，进一步提升安全性。

内容的提问来源于stack exchange，提问作者Mr. Folder