我已经设置了keycloak服务器并使用keycloak rest适配器创建了
spring rest应用程序.授权规则工作正常.

我想知道keycloak弹簧支架适配器的内部工作.如何根据keycloak管理客户端中设置的策略和权限验证登录用户的令牌.

最佳答案 你是对的,访问令牌不包含所有这些细节.

在Keycloak中,当您使用服务器端适配器时,客户端将配置为使用标准流而不是OIDC的隐式流.

在使用keycloak IDP登录时的标准流程中,您的前端会重定向到Keycloak IDP并要求您提供凭据.如果您拥有正确的凭据,则登录成功并且您将被重定向回您的应用程序.在此重定向中,您的应用会获得一个代码,然后将其发送到后端休息呼叫. spring引用应用程序中的spring适配器使用此代码来调用Keycloak IDP服务器,这是此调用,其中引导应用程序将获取用户上下文以作为来自Keycloak服务器的响应的所有授权决策.

希望这是有道理的.