Keycloak Admin角色令牌请求资源时重定向至登录页问题排查

• 匹配角色类型与保护规则参数
  keycloak-connect的keycloak.protect('admin')默认校验的是当前客户端的客户端角色。如果你的admin是Realm级角色，需要把保护规则改为keycloak.protect('realm:admin')；如果是客户端角色，必须在Keycloak控制台完成角色映射：

  1. 进入NodeJS应用对应的客户端页面，切换到「角色映射」标签
  2. 在「可用角色」列表中选中admin角色，添加到「已分配角色」区域

• 验证access_token的角色结构
  解码employee2的access_token（本地用jwt.io即可），确认角色存储位置：

  • Realm角色会出现在realm_access.roles数组内
  • 客户端角色会出现在resource_access.<你的客户端ID>.roles数组内
    保证protect方法的参数和角色所在层级对应，比如客户端角色直接用角色名，Realm角色需添加realm:前缀

• 检查Keycloak客户端基础配置

  1. 将客户端的「访问类型」设置为confidential（服务端应用推荐）或public
  2. 确保「有效重定向URI」包含你的应用回调地址（浏览器跳转场景必需，Postman测试可暂时放宽）
  3. 开启「直接访问授权」选项（确保能通过token接口正常获取令牌）

• 适配多客户端角色场景
  如果admin角色属于admin-app客户端，而user角色属于user-app客户端，需要为不同路由配置对应客户端的keycloak实例，避免角色校验跨客户端不生效

内容的提问来源于stack exchange，提问作者Bruno