KeycloakWebSecurityConfigurerAdapter如何获取Realm角色列表配置权限

KeycloakWebSecurityConfigurerAdapter原生支持该实现方式。hasAnyRole()方法本身接收String...可变长度字符串数组参数，完全支持传入动态获取的角色列表，不存在只能硬编码固定角色的限制。

首先先修正你现有代码里的一个逻辑bug：你在configureGlobal方法中创建了SimpleAuthorityMapper并设置了ROLE_前缀，但实际注入到KeycloakAuthenticationProvider的是重新new出来的无配置的SimpleAuthorityMapper实例，之前配置前缀的mapper并未生效，会导致角色映射规则不符合预期。

具体实现步骤 #

1. 配置Keycloak管理员客户端参数，用于从Realm拉取角色列表，参数直接从现有Spring配置文件的Keycloak配置项中读取即可：

@Value("${keycloak.auth-server-url}")
private String authServerUrl;
@Value("${keycloak.realm}")
private String targetRealm;
@Value("${keycloak.resource}")
private String clientId;
@Value("${keycloak.credentials.secret}")
private String adminClientSecret;

2. 编写方法从Keycloak Realm拉取全量角色名：

private String[] loadAllRealmRoles() {
    // 构建有Realm管理权限的Keycloak客户端
    Keycloak keycloakAdmin = KeycloakBuilder.builder()
            .serverUrl(authServerUrl)
            .realm("master")
            .clientId("admin-cli")
            .clientSecret(adminClientSecret)
            .grantType(OAuth2Constants.CLIENT_CREDENTIALS)
            .build();
    // 拉取目标Realm下所有角色，提取角色名组装为数组
    List<RoleRepresentation> roleList = keycloakAdmin.realm(targetRealm).roles().list();
    return roleList.stream()
            .map(RoleRepresentation::getName)
            .toArray(String[]::new);
}

3. 修正权限映射配置，使用设置了前缀的mapper实例：

@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
    SimpleAuthorityMapper authorityMapper = new SimpleAuthorityMapper();
    authorityMapper.setPrefix("ROLE_");
    KeycloakAuthenticationProvider authProvider = keycloakAuthenticationProvider();
    // 直接传入配置好前缀的mapper，不要重新new对象
    authProvider.setGrantedAuthoritiesMapper(authorityMapper);
    auth.authenticationProvider(authProvider);
}

4. 在接口权限规则配置中，直接传入动态拉取的角色数组：

@Override
protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    String[] realmRoles = loadAllRealmRoles();
    http.authorizeRequests(auth -> auth
            .antMatchers("/customers*", "/users*")
            .hasAnyRole(realmRoles)
            .anyRequest()
            .permitAll());
}

注意事项 #

• 上述角色拉取逻辑是在应用启动加载Security配置时执行一次，如果你的Keycloak角色会在应用运行过程中动态增删，建议给角色列表增加本地缓存+定时刷新逻辑，无需重启应用即可同步最新权限规则。
• 如果你需要校验的是客户端级别的角色而非Realm全局角色，拉取角色时将接口调用改为keycloakAdmin.realm(targetRealm).clients().get(clientId).roles().list()即可，不要拉取Realm层级的全局角色。
• 用于拉取角色的Keycloak客户端需要拥有目标Realm的角色查询权限，否则接口调用会返回403无权限错误。

内容的提问来源于stack exchange，提问作者Axel HK