KeyCloak复合角色未添加至access_token问题排查求助

• 确认复合角色关联关系：检查Parent复合角色是否正确设置为包含Child角色。如果关联方向搞反（比如Child关联Parent），用户只分配Child的话，不会自动获取Parent角色权限，更不会出现在token里。
• 检查认证服务的token配置：在你使用的认证系统（如Keycloak、Auth0）的客户端设置中，找到是否有“包含复合角色到access_token”的开关。多数系统默认只返回用户直接分配的角色，不会自动解析复合角色。
• 验证用户角色分配方式：有些系统里，复合角色需要直接分配给用户才会出现在token中，仅关联子角色不会让父角色自动生效。确认用户是否被直接分配了Parent角色，或者系统是否支持子角色继承父角色的规则。
• 排查自定义token生成逻辑：如果是自己开发的认证服务，检查生成access_token的代码，确保逻辑里遍历了用户的所有关联角色（包括复合角色），而不是只读取直接分配的角色列表。
• 刷新token重试：旧token可能存在缓存，登出后重新登录获取新的access_token，再检查是否包含复合角色。

配置参考截图 #

内容的提问来源于stack exchange，提问作者Александр Сысоев