Keycloak多权限场景下如何实现单权限允许即放行的访问判定

当前的拦截结果是Keycloak默认的授权判定逻辑导致的，和你配置的两条权限规则本身无关：
Keycloak默认启用了两个硬拦截规则：

• 决策策略默认是Unanimous（一致同意）：要求所有绑定到resourceA的权限全部评估通过，才会放行，只要有任意一个权限评估不通过就直接拒绝
• 默认开启「拒绝覆盖决策」开关：只要任意一个权限产生拒绝评估结果，哪怕同时命中多个允许规则，最终结果也会判定为拒绝

这套默认逻辑下，哪怕持有roleA的用户完全匹配permissionA的允许规则，由于你额外配置了绑定roleB的permissionB（拒绝类权限），不持有roleB的用户在评估时会因为不满足policyB的匹配条件，给该权限生成无效的拒绝评估，直接触发默认拦截，自然就会被判定无法访问resourceA。

• 找到配置resourceA的对应客户端，进入「授权-设置」页面，调整两项全局授权配置：
  • 把决策策略从默认的Unanimous切换为Affirmative（积极决策）。该模式的判定逻辑完全匹配你的预期：只要存在任意一个匹配当前用户的允许类权限，就直接放行；只有所有关联到目标资源的权限都未匹配到用户的允许条件时，才会最终返回拒绝
  • 关闭「Deny Overrides Decision」（拒绝覆盖决策）开关。关闭后，只有用户真实命中拒绝规则（比如持有roleB、满足permissionB的匹配条件），才会触发拦截；那些因为用户不满足策略条件、未实际匹配的权限，不会生成无效的拒绝结果干扰正常的放行判断
• 校验两个已配置权限的基础规则准确性：
  • 确认permissionA绑定的资源为resourceA，权限类型为Allow，绑定的policyA规则确实匹配持有roleA的用户
  • 确认permissionB绑定的资源为resourceA，权限类型为Deny，绑定的policyB规则为匹配持有roleB的用户；注意不要将permissionB的规则误配为全量用户默认拒绝，否则无论用户是否匹配permissionA的允许条件，都会被这条全量规则拦截
• 配置调整完成后，回到管理控制台的权限评估模块，选择持有roleA的用户、目标资源resourceA重新发起评估：此时只要用户满足permissionA的匹配条件，就会返回允许访问的结果；只有当用户同时持有roleB、命中permissionB的拒绝规则时，才会触发拦截逻辑。

内容的提问来源于stack exchange，提问作者Kotha Nikhila