如何在Keycloak中基于用户所属门店分配角色实现数据权限隔离

完全可以通过Keycloak原生能力实现需求，无需额外维护独立的用户-门店关联数据库，以下是两种常用实现方案：

方案一：用户属性+自定义声明（最轻量实现） #

适合不需要太复杂权限规则的场景，配置成本极低：

• 给所有用户新增自定义属性shop_id，值为用户所属门店的唯一标识，比如给门店1的经理Jim设置shop_id = 1
• 按原有逻辑给用户分配Shop Manager、Seller两类通用角色，角色可根据需要设为领域级或客户端级
• 在对应Web应用的Keycloak客户端配置中，进入「客户端作用域」页面，添加自定义令牌映射，将shop_id用户属性添加到访问令牌/ID令牌的声明中
• 应用后端直接解析接口请求携带的令牌，获取shop_id和用户角色，即可过滤对应门店的可访问数据，全程无需查询外部关联库

方案二：复合角色+细粒度授权（权限控制更严谨） #

适合需要严格限制跨门店操作的场景，可直接在Keycloak侧完成权限校验，无需后端额外写逻辑：

• 先创建门店维度的细分角色，比如shop_1_manager、shop_1_seller、shop_2_manager、shop_2_seller，将通用角色Shop Manager、Seller设为父角色，对应门店角色继承通用角色的所有基础权限
• 给用户直接分配对应门店的细分角色，比如给Jim分配shop_1_manager，他会自动拥有门店经理的通用权限，且角色自带门店标识
• 配置令牌映射将用户角色列表加入令牌，后端可直接通过角色前缀判断用户所属门店和权限，也可以开启Keycloak的授权服务，配置资源访问规则，直接拦截用户对其他门店资源的访问请求

关于Scope的说明 #

你提到的scopes通常用于控制客户端可请求的用户信息范围，并不适合做数据维度的权限隔离，上述两种方案的适配性和实现成本都远优于用Scope实现的方案。

补充说明 #

• 支持批量操作：可通过Keycloak Admin API批量给用户设置shop_id或分配角色，无需手动逐个配置
• 敏感信息保护：如果shop_id属于敏感信息，可开启令牌加密，或者后端通过令牌自省接口获取该字段，不会暴露给前端

内容的提问来源于stack exchange，提问作者Slevin