Keycloak与Spring集成时路径中间含通配符的策略执行问题

针对路径中间带通配符/参数的端点无法触发Keycloak细粒度权限策略的问题，以下是可行的解决步骤：

问题根源 #

application.properties中的securityConstraints仅用于标记路径需要认证，不会自动触发细粒度权限校验。中间路径的{id}或*写法只是Spring Boot Keycloak适配器的路径匹配规则，和Keycloak后台的权限系统资源匹配逻辑是分离的，必须在后台正确配置资源的模式匹配才能生效。

具体解决步骤 #

1. 调整application.properties配置 #

保持路径标记的范围，确保请求能进入Keycloak的权限校验流程：

keycloak.securityConstraints[0].securityCollections[0].patterns[1]=/data/*/test1
keycloak.securityConstraints[0].securityCollections[0].patterns[2]=/data/*/test2
keycloak.securityConstraints[0].securityCollections[0].patterns[3]=/data/test3/*

用*统一标记需要保护的路径范围，避免因适配器的参数解析差异导致拦截失效。

2. Keycloak后台配置资源与权限 #

这是核心步骤，必须确保资源的URI模式匹配正确：

• 进入目标客户端的Authorization标签页
• 新建/编辑资源：
  • 填写资源名称（如DataTest1Resource）
  • URI字段填写/data/{id}/test1（或/data/*/test2对应第二个路径）
  • 必须勾选「URIs as Patterns」选项：开启后Keycloak会将URI视为模式匹配，而非精确匹配
• 创建策略：根据需求配置角色策略、用户策略或脚本策略（比如限制特定角色访问）
• 绑定权限：将策略与上述资源关联，确保权限规则覆盖目标路径

3. 代码层添加权限校验（Spring集成场景） #

在Controller方法中通过注解绑定权限校验，确保路径参数能传递给Keycloak：

@GetMapping("/data/{id}/test1")
@PreAuthorize("hasPermission(#id, 'DataTest1Resource', 'view')")
public ResponseEntity<String> test1(@PathVariable String id) {
    // 业务逻辑
    return ResponseEntity.ok("Access granted");
}

这里的#id要和路径参数名一致，Keycloak会自动匹配资源URI中的{id}参数，完成权限校验。

4. 验证匹配规则 #

测试时使用真实路径（如/data/abc123/test1），确认：

• 请求被securityConstraints拦截并要求认证
• Keycloak后台的资源能匹配该路径
• 权限策略中的条件（如角色、用户属性）满足时允许访问，否则拒绝

常见坑点 #

• 未开启「URIs as Patterns」：这是中间路径模式匹配生效的关键，默认关闭会导致Keycloak将URI当作精确匹配处理
• 资源URI与实际请求路径不匹配：确保资源URI的模式能覆盖目标路径（比如/data/{id}/test1能匹配/data/123/test1）
• 权限绑定错误：策略必须和资源正确绑定，否则权限规则无法触发

内容的提问来源于stack exchange，提问作者Matteo