KeyCloak：未为联邦用户保存授权范围

Question

我有一个混合用户群的Keycloak领域。有些用户是原生的（本机用户），有些是通过自定义用户存储SPI实现提供的（联邦用户）。

当我执行OIDC登录时，Keycloak要求批准4个作用域（测试客户机、配置文件、电子邮件、角色）。该请求是用openID作用域执行的。Keycloak将其转换为这四个作用域。test-client是客户端名称。在管理UI中没有显示具有此名称的实际客户端范围。

使用本机用户，一切都很好。我批准并成功完成登录。

[invalid_scope] Client no longer has requested consent from user

11:06:31,964 WARN  [org.keycloak.events] (default task-10) type=CODE_TO_TOKEN_ERROR, realmId=torment, clientId=test-client, userId=f:ff4c66e5-2a6f-465c-8418-200648a49973:dfb_user, ipAddress=127.0.0.1, error=not_allowed, grant_type=authorization_code, code_id=418dfa66-b4c8-4481-b46d-ceac97e65b39, client_auth_method=client-secret

1. 为什么会发生这种情况？
2. 如何使其工作？

Answer 1

您似乎没有将作用域列表作为用于启动Keycloak身份验证的URL中的查询参数传递。请检查您的身份验证URL。

 Set<ClientScopeModel> clientScopes = TokenManager.getRequestedClientScopes(scopeParam, client);
        if (!TokenManager.verifyConsentStillAvailable(session, user, client, clientScopes)) {
            event.error(Errors.NOT_ALLOWED);
            throw new CorsErrorResponseException(cors, OAuthErrorException.INVALID_SCOPE, "Client no longer has requested consent from user", Response.Status.BAD_REQUEST);
        }