从 Keycloak 中的 REST API 中提取角色

Question

在我的公司，我们需要从 Keycloak 提供的 REST API 中提取登录用户的角色。我们查看了 Keycloak 文档，但找不到我们正在寻找的答案。让我解释一下我们想要实现的流程：用户登录到 Keycloak 中定义的客户端并接收存储在应用程序 Web 客户端中的 JWT。用户不是 Keycloak 中的管理员。当 Web 客户端向后端服务器发出请求时，后端服务器会向 Keycloak 查询用户的角色。而且，这就是我们遇到麻烦的地方。我们无法确定 REST API 的正确 URL 或将哪个令牌添加到身份验证标头。 总结一下：我们需要查询用户角色所需的 URL 以及发送什么令牌来授权 API 的帮助。我知道可以从 JWT 中检索角色，但我们担心随着时间的推移有效负载会变得很大。一个用户可能在不同部门有多个角色。

Answer 1

角色应该在 JWT 有效负载中，这应该在 keycloak 服务中配置。流程应该是这样的：

1. 前端认证用户，存储keycloak返回的JWT令牌
2. 前端命中后端包括请求头中的token
3. 后端获取token，使用公钥验证（公钥由keycloak提供），如果token有效，则从token payload中获取角色并执行授权过程