Keycloak登录后返回403 Forbidden问题排查求助

根据你提供的配置和场景，我整理了几个最可能导致403错误的原因，以及对应的修复方案：

1. 客户端资源名称（Client ID）不匹配 #

这是最显眼的问题：你的application.properties和keycloak.json中配置的客户端ID完全不一致：

• application.properties里的keycloak.resource是 login-provider-web
• keycloak.json里的resource是 login-app

Keycloak适配器依赖这个ID来匹配后台注册的客户端，两者不匹配会直接触发授权失败。修复方案：把两处的客户端ID改成完全一致，比如统一为login-provider-web（必须和Keycloak后台注册的客户端ID完全相同）。

2. 角色名称不匹配 #

你提到客户端仅注册了ROLE_USER角色，但在application.properties的安全约束中配置的是：

keycloak.securityConstraints[0].authRoles[0] = USER

同时你的keycloak.json设置了"use-resource-role-mappings": true，这意味着应用会优先使用客户端级别的角色（而非Realm角色）。这里配置的角色名USER和你实际注册的ROLE_USER不匹配，导致权限校验不通过。修复方案：

• 要么修改安全约束中的角色名，和客户端角色保持一致：

  keycloak.securityConstraints[0].authRoles[0] = ROLE_USER
  

• 要么在Keycloak后台把客户端角色名称改成USER，对齐配置中的设置。

3. 检查用户是否已分配对应角色 #

即使客户端创建了ROLE_USER角色，如果登录的用户没有被分配这个角色，Keycloak也会返回403。检查步骤：

• 登录Keycloak后台，进入你的FocusocKeycloak Realm
• 找到对应的用户，进入「角色映射」标签页
• 确认该用户已被分配客户端级别的ROLE_USER角色（注意区分Realm角色和客户端角色，不要选错范围）

4. SSL配置的潜在冲突 #

你的配置中ssl-required=external，这个设置意味着只有外部（非本地）请求需要SSL连接。但你的auth-server-url用的是http://localhost:8080/auth或http://127.0.0.1:8080/auth（非HTTPS），如果Keycloak后台强制要求SSL，可能会有冲突。验证方法：可以临时把ssl-required改成none，测试是否能正常登录，如果问题解决，再根据实际部署环境调整SSL配置。

建议先从前两个问题入手排查，这两个是此类场景下最常见的403诱因，应该能快速解决你的问题。

内容的提问来源于stack exchange，提问作者ourobor93