Keycloak映射LDAP组至Spring Boot应用角色时自定义角色不生效问题

你已通过独立HTTP客户端验证Keycloak访问令牌的角色配置完全正确：自定义ADMIN、USER角色已正常放置在resource_access字段对应客户端的节点下。所有异常均来自Spring Boot客户端侧的两处配置缺失，未涉及Keycloak服务端的配置遗漏：

• 默认配置下Keycloak Spring Security适配器仅读取领域级角色，不会自动提取客户端级角色
• Spring Security的权限匹配规则存在自动前缀拼接逻辑，和实际加载的角色名不匹配

1. 开启客户端角色提取能力 #

在Spring Boot的application.yml的Keycloak配置块下新增配置项：

keycloak:
  use-resource-role-mappings: true

该配置默认值为false，即适配器仅会解析令牌中realm_access.roles节点下的领域角色，完全不会读取resource_access字段下的客户端角色，这也是你观测到应用内仅存在Keycloak默认标准角色的核心原因。开启后，适配器会自动从resource_access字段中，匹配和当前配置的客户端ID一致的节点，提取其中的角色列表映射为Spring Security授权权限。
额外校验点：确认keycloak.resource配置的客户端ID，和令牌中resource_access下的节点名称完全一致，否则即使开启开关也无法正确匹配角色。

2. 适配权限匹配规则 #

即使适配器成功加载了ADMIN、USER角色，仍会因为Spring Security的默认hasRole匹配逻辑出现403：hasRole()方法会自动在传入的角色名前拼接ROLE_前缀，实际匹配的是ROLE_ADMIN权限，和适配器加载的裸角色名ADMIN不匹配。
可选择以下任意一种方案解决：

• 方案一：调整控制器注解写法，使用不做前缀拼接的权限校验方法：
  将原注解@PreAuthorize("hasRole('ADMIN')")替换为@PreAuthorize("hasAuthority('ADMIN')")，即可直接匹配已加载的角色。
• 方案二：保留hasRole注解写法，修改授权映射的前缀规则：
  在你编写的继承KeycloakWebSecurityConfigurerAdapter的安全配置类中，修改认证Provider的权限映射逻辑，关闭ROLE_自动前缀拼接：

  @Override
  protected void configure(AuthenticationManagerBuilder auth) throws Exception {
      SimpleAuthorityMapper authorityMapper = new SimpleAuthorityMapper();
      authorityMapper.setPrefix(""); // 将默认拼接的ROLE_前缀置空
      KeycloakAuthenticationProvider provider = keycloakAuthenticationProvider();
      provider.setGrantedAuthoritiesMapper(authorityMapper);
      auth.authenticationProvider(provider);
  }
  

  配置完成后，原有的hasRole('ADMIN')注解即可正常匹配权限。

配置完成后重启应用，可在认证流程中打印SecurityContext内存储的当前用户权限列表，确认存在ADMIN、USER权限项即可正常访问受保护接口，不会再返回403。

内容的提问来源于stack exchange，提问作者ILya Cyclone