Keycloak/Angular 4：如何获取已认证用户的角色与组

我来帮你搞定这个问题！既然你已经能通过keycloak.js拿到userProfile和userInfo，那获取角色和组其实就在这些对象里，只是可能需要注意角色的分类（Realm角色 vs 客户端角色），以及组信息的正确获取方式~

一、获取用户角色 #

Keycloak的角色分为两种类型，获取方式略有不同：

1. Realm级角色（全局角色） #

Realm角色是整个Keycloak实例下的全局角色，直接从Keycloak实例的realmAccess属性中获取：

// 假设keycloakInstance是你初始化后的Keycloak实例
const realmRoles = keycloakInstance.realmAccess?.roles || [];
console.log("用户的Realm角色：", realmRoles);

2. 客户端级角色（特定应用角色） #

客户端角色是针对某个具体客户端（比如你的Angular应用）的角色，需要从resourceAccess中指定客户端ID来获取：

// 替换成你的Angular应用在Keycloak中注册的客户端ID
const clientId = "your-angular-app-client-id";
const clientRoles = keycloakInstance.resourceAccess?.[clientId]?.roles || [];
console.log("用户的客户端角色：", clientRoles);

注意：如果resourceAccess中找不到你的客户端ID，要检查Keycloak后台是否给该用户分配了对应客户端的角色，或者客户端是否开启了正确的权限范围。

二、获取用户组 #

用户组信息需要通过调用loadUserProfile()方法来获取，这个方法会返回包含组列表的用户 profile 对象：

keycloakInstance.loadUserProfile()
  .then(profile => {
    // groups是一个数组，每个元素包含组的id、name等属性
    const userGroups = profile.groups || [];
    console.log("用户所属组：", userGroups);
  })
  .catch(error => {
    console.error("加载用户组失败：", error);
  });

提示：确保你的Keycloak客户端已经配置了profile权限范围（可以在客户端的"Scope"标签页中开启"Full Scope Allowed"，或者手动添加"profile" scope），否则可能无法获取到组信息。

三、Angular组件/守卫中的实际示例 #

比如在AuthGuard中判断用户是否拥有指定角色：

import { Injectable } from '@angular/core';
import { CanActivate, ActivatedRouteSnapshot, Router } from '@angular/router';
import { KeycloakService } from 'keycloak-angular'; // 如果你用了keycloak-angular库，或者直接用自己的keycloak实例

@Injectable({ providedIn: 'root' })
export class AuthRoleGuard implements CanActivate {
  constructor(private keycloakService: KeycloakService, private router: Router) {}

  canActivate(route: ActivatedRouteSnapshot): boolean {
    const requiredRole = route.data['requiredRole'];
    const keycloakInstance = this.keycloakService.getKeycloakInstance();

    // 检查是否拥有Realm角色或客户端角色
    const hasRealmRole = keycloakInstance.realmAccess?.roles.includes(requiredRole);
    const hasClientRole = keycloakInstance.resourceAccess?.['your-client-id']?.roles.includes(requiredRole);

    if (!hasRealmRole && !hasClientRole) {
      this.router.navigate(['/unauthorized']);
      return false;
    }
    return true;
  }
}

内容的提问来源于stack exchange，提问作者user1814879