Spring Boot 2集成Keycloak适配器返回403权限问题求助

我太懂这种卡了两天的憋屈感——明明Token过了验证，角色就是加载不出来导致403，而且还排除了Keycloak端角色配置的问题。结合你的配置、依赖和日志，我整理了几个针对性的排查方向：

1. 优先解决版本兼容性问题 #

你用的Keycloak服务器是3.4.3.Final，但Spring Boot适配器却用了4.0.0.Beta2，跨大版本的适配很容易出现隐性问题。Keycloak的适配器和服务器版本最好保持一致，至少要在同一个大版本范围内（比如都用3.x或都用4.x）。建议先把适配器版本降级到3.4.3.Final：

<dependency>
    <groupId>org.keycloak</groupId>
    <artifactId>keycloak-spring-boot-2-starter</artifactId>
    <version>3.4.3.Final</version>
</dependency>

2. 确认Token里是否真的包含角色信息 #

别光信Keycloak后台的配置，直接解码前端传过来的access_token看看！用JWT解码工具解析后：

• 如果use-resource-role-mappings: false，检查realm_access.roles字段里有没有user角色
• 如果use-resource-role-mappings: true，检查resource_access.league-service.roles字段里有没有对应角色
  要是Token里根本没这些角色，那问题还是在Keycloak端：比如客户端的「Full Scope Allowed」有没有开启？没开的话得手动把角色添加到客户端的Scope里。

3. 检查Spring Security的角色前缀问题 #

Keycloak适配器默认会给角色加ROLE_前缀，但你的配置里auth-roles写的是user，如果Spring Security期望的是ROLE_user，就会直接导致权限不匹配。两种解决方式：

• 把配置里的auth-roles改成ROLE_user
• 或者在application.yaml里关闭角色前缀：

keycloak:
  # 其他原有配置...
  role-prefix: ""

4. 调试角色加载的核心逻辑 #

你已经发现GenericPrincipal里没有角色，可以再深入调试：

• 跟踪KeycloakAuthenticationProvider的authenticate方法，看看Token里的角色是怎么被解析、转换的
• 确认use-resource-role-mappings的配置是否真的生效——设为true时，适配器应该读取客户端角色而非领域角色

5. 检查YAML配置的缩进细节 #

YAML对缩进要求极严，你的security-constraints配置虽然逻辑对，但可以改成更规范的列表写法避免隐性问题：

security-constraints:
  - auth-roles:
      - user
    security-collections:
      - patterns:
          - /*

另外也可以确认下前端传递的Authorization头是否完整到达后端，有时候CORS配置的小问题可能导致请求头丢失，间接影响角色解析。

希望这些方向能帮你快速定位问题！

内容的提问来源于stack exchange，提问作者baraber