Keycloak问题：所有新建用户均拥有管理员有效角色

• 检查默认领域角色的复合关联
  进入控制台「Realm Roles」，找到新用户默认获得的角色（通常命名为default-roles-[领域名]），查看其「Composite Roles」配置，确认是否意外包含了那些异常角色。同时在「Realm Settings」→「User Registration」里，检查「Default Roles」列表，确保没有误加异常角色。

• 排查默认用户组的角色继承
  前往「Groups」页面，确认是否存在设置为「Default Group」的用户组（新建用户会自动加入该组）。进入该组的「Role Mappings」页面，检查组本身是否被分配了异常角色，或者组关联的复合角色包含异常项。

• 检查客户端范围的自动角色映射
  如果异常角色是客户端角色，进入对应客户端的「Client Scopes」→「Default Client Scopes」，查看是否有客户端范围会自动给所有用户分配这些角色。同时检查客户端自身的「Role Mappings」，确认是否存在全局的角色分配规则。

• 排查自定义逻辑或事件
  若使用了自定义认证脚本、SPI扩展，检查是否在用户创建或初始化流程中自动添加了角色。另外在「Events」→「Admin Events」中过滤用户创建事件，查看是否有后台操作自动注入了角色。

• 验证版本与扩展插件
  确认当前Keycloak版本是否存在角色继承相关的已知bug，必要时升级至稳定版本。同时检查是否安装了第三方扩展或自定义主题，临时禁用后测试是否还会出现异常角色。

内容的提问来源于stack exchange，提问作者Елена Ковалинская