Spring Boot Keycloak Adapter 从 JWT 令牌中的自定义字段中提取角色

Question

我在后端应用程序中使用 Spring Boot Keycloak Adapter。 它具有从 JWT 令牌中提取角色的属性：

keycloak:
   use-resource-roles-mapping: true

如果此选项设置为true ，则用户的 toles 将从字段resource_access.roles[]的令牌中提取

如果此选项设置为false ，则用户的角色将从字段realm_access.roles[]的令牌中提取

但是我在另一个字段中的令牌中有角色， roles[]直接放在根目录中，没有包装器resource_access或realm_access

如我所见，Keycloak 适配器不允许自定义从令牌中提取角色的行为。 所以，问题是，我如何验证这种行为以从我想要的字段中提取角色？

Answer 1

实际上，客户端角色保存在resource_access.{client-id}.roles中（不是resource_access.roles ）。

Keycloak 适配器在一年前已被弃用，并且与 spring-boot 不兼容 3. 不要使用它。

您可以参考已接受的答案“将 Keycloak Spring 适配器与 Spring Boot 3 一起使用”以获取替代方案。 那里公开的解决方案适用于 spring-boot 使用SecurityFilterChain （boot 2.4 左右）拉取 spring-security 的版本，几乎没有修改（只有一些配置方法已在 spring-security 6（boot 3）中重命名以对齐反应式和 servlet DSL）。

您应该使用“我的”启动器阅读答案的一部分，这些启动器可以配置来自application.properties （或 yaml）的角色映射：源声明（一次不仅仅是一个声明，而是您需要的），前缀和大小写转型。 所有这些都是针对每个发行者的（可能接受来自与 Keycloak 一样多的领域、Keycloak 实例甚至来自其他 OIDC 授权服务器的身份）。