使用KeycloakOwinAuthentication授权ASP.NET Web API 2：令牌鉴权问题咨询

我之前也踩过类似的坑，用停止维护的Keycloak相关项目给ASP.NET Web API做令牌验证+角色授权，核心逻辑其实和标准JWT验证是通的，给你整理几个关键步骤和可直接复用的代码示例：

首先要在Program.cs里配置认证服务，指定Keycloak作为授权服务器，同时处理令牌的验证规则：

var builder = WebApplication.CreateBuilder(args);

// 添加Keycloak JWT认证服务
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        // Keycloak的Realm地址
        options.Authority = "https://你的Keycloak域名/auth/realms/你的Realm名称";
        // Web API在Keycloak中对应的客户端ID
        options.Audience = "你的API客户端ID";
        
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            // 映射Keycloak的Realm角色到ASP.NET的Role声明
            RoleClaimType = "realm_access.roles"
        };

        // 如果需要解析Keycloak中针对当前API客户端的专属角色，添加事件处理
        options.Events = new JwtBearerEvents
        {
            OnTokenValidated = context =>
            {
                // 从令牌的resource_access字段中提取当前API的角色
                var resourceAccessClaim = context.Principal.Claims.FirstOrDefault(c => c.Type == "resource_access");
                if (resourceAccessClaim != null)
                {
                    var resourceAccess = JObject.Parse(resourceAccessClaim.Value);
                    var apiRoles = resourceAccess["你的API客户端ID"]?["roles"]?.ToObject<List<string>>();
                    
                    if (apiRoles != null)
                    {
                        var identity = context.Principal.Identity as ClaimsIdentity;
                        foreach (var role in apiRoles)
                        {
                            identity.AddClaim(new Claim(ClaimTypes.Role, role));
                        }
                    }
                }
                return Task.CompletedTask;
            }
        };
    });

// 启用授权服务，可自定义角色策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("RequireAdminRole", policy =>
        policy.RequireRole("admin"));
});

builder.Services.AddControllers();

var app = builder.Build();

// 注意顺序：先认证，再授权
app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

app.Run();

配置好中间件后，就可以在接口上通过[Authorize]属性实现角色控制了：

[ApiController]
[Route("api/[controller]")]
public class UserController : ControllerBase
{
    // 仅允许拥有admin角色的用户访问
    [Authorize(Roles = "admin")]
    [HttpGet("users")]
    public IActionResult GetAllUsers()
    {
        return Ok("返回所有用户数据（仅管理员可见）");
    }

    // 使用自定义策略授权
    [Authorize(Policy = "RequireAdminRole")]
    [HttpPost("users")]
    public IActionResult CreateUser([FromBody] UserModel model)
    {
        // 处理用户创建逻辑
        return Ok("用户创建成功");
    }

    // 所有已认证用户均可访问
    [Authorize]
    [HttpGet("profile")]
    public IActionResult GetUserProfile()
    {
        // 从Claims中获取当前用户信息
        var userId = User.Claims.FirstOrDefault(c => c.Type == "sub")?.Value;
        return Ok($"当前用户ID：{userId}");
    }
}

• 确保Keycloak的API客户端配置中，开启了Service Accounts Enabled，并且给客户端分配了对应的角色
• 客户端请求API时，必须携带格式为Bearer {令牌内容}的Authorization请求头
• 因为项目已停止维护，可能需要手动处理一些令牌解析细节（比如上面的角色映射逻辑），如果遇到令牌字段解析问题，可以通过User.Claims打印所有声明来排查
• 测试时可以先通过Keycloak的令牌接口获取令牌：向https://你的Keycloak域名/auth/realms/你的Realm名称/protocol/openid-connect/token发送POST请求，携带client_id、client_secret（或用户名密码）获取令牌

内容的提问来源于stack exchange，提问作者MKP