如何通过Keycloak Admin REST API根据userId获取用户权限列表？未找到对应方法

AI 小北

2026-8-20

获取Keycloak指定用户的权限列表方法

Keycloak没有提供单一的"获取用户所有权限"的API端点，需要从角色映射、细粒度权限等多个维度组合查询，以下是具体实现方式：

一、直接调用Admin REST API

1. 获取用户的所有角色映射（含继承）

角色是Keycloak权限体系的核心，大多数权限通过角色关联分配。使用以下端点：

GET /admin/realms/{realm}/users/{userId}/role-mappings

返回结果包含：

realmMappings：用户拥有的域级角色
clientMappings：用户在各个客户端下的角色

2. 获取用户的客户端细粒度权限

如果你的Keycloak启用了客户端级的细粒度授权，使用这个端点获取用户直接或通过角色继承的客户端权限：

GET /admin/realms/{realm}/users/{userId}/authorization/permissions

3. 获取用户对特定客户端资源的权限

针对指定客户端下的资源，查询用户的权限情况：

GET /admin/realms/{realm}/clients/{clientId}/authz/resource-server/permission/resource/users/{userId}

二、使用keycloak-nodejs-admin-client实现

客户端没有直接封装权限查询的方法，但可以通过底层request方法调用上述API：

1. 查询用户角色映射

const roleMappings = await keycloak.users.listRoleMappings({
  realm: "你的域名称",
  id: "目标用户ID"
});
console.log(roleMappings);

2. 查询用户客户端权限

const clientPermissions = await keycloak.request({
  path: `/admin/realms/你的域名称/users/目标用户ID/authorization/permissions`,
  method: "GET"
});
console.log(JSON.parse(clientPermissions));

3. 查询用户资源权限

const resourcePermissions = await keycloak.request({
  path: `/admin/realms/你的域名称/clients/目标客户端ID/authz/resource-server/permission/resource/users/目标用户ID`,
  method: "GET"
});
console.log(JSON.parse(resourcePermissions));