是否可以使用Keyclaock处理多个团队的用户授权？

Question

我对keycloak不熟悉，对它没有深入的了解。我们必须在Spring Boot中为一个应用程序实现身份验证，其中有团队，用户可以是不同团队的一部分。他/用户可以为每个团队拥有不同的角色/权限。例如，用户A可以是team1的经理，同时，他可以是team2的管理员，等等。

我以一种为每个团队提供一个钥匙斗篷客户端的方式实现了它。客户端角色将作为团队权限分配给用户。

现在，我想以这样一种方式限制API，即只有对team1拥有某些权限(分配了角色)的用户才能访问特定团队(在本例中为team1)的数据。我知道我们在Spring Boot有@PreAuthroize注释，我可以在其中添加一个对“hasRole”的检查，但这还不够。它将简单地检查当前用户是否有这个角色，但我想知道这个用户在像team1或其他一些团队中有这个角色吗？

我可以通过keycount管理API获取特定客户机的用户角色，并手动检查代码中是否存在分配的角色中的角色。请参阅下面的代码：

Keycloak keycloak = keycloakClient.getInstance();
List<String> availableRoles = keycloak.realm(realm).users().get(user).roles().clientLevel(client).
                listAvailable().stream().map(role -> role.getName()).collect(Collectors.toList());
if (availableRoles.contains(Roles.TEAM_MANAGER.name())) {
    return true;
}

但我不确定这是不是正确的方法。

另一种选择可能是不使用 keycloak 进行授权（仅将其用于身份验证），并在数据库表中具有这些角色，并从数据库中验证用户是否具有所需的角色。

正如我已经提到的，我没有太多的经验，所以任何人都可以建议什么是正确的方式吗？

Answer 1

你可以看看我写的这个高级教程。

它没有回答你非常具体的用例，但它实现了类似的东西：编写Spring安全规则，用户可以代表其他用户（而不是你需要的团队）做事。

如果您使用Keycloak适配器将Keycloak角色映射到spring权限，不要这样做，这是不推荐的。