Keycloak公共客户端和授权

Question

我们使用keycloak-adapter与Jetty一起使用KeyCloak进行身份验证和授权。根据OIDC Auth流程的Keycloak文档：

我们有连接到Jetty并使用Auth的webapps。因此，我们创建了一个公共客户端，它对WebApp/REST身份验证非常有效。
问题是，一旦我们启用授权，客户端类型就会从公共类型转换为机密类型，并且不允许将其重置为公共类型。现在，我们在汤里。由于授权，我们不能拥有公共客户端，也不能将webapps连接到机密客户端。
这似乎与我们相矛盾。你知道为什么客户需要保密授权吗？对此有任何帮助，我们如何克服这个问题？
谢谢。

Answer 1

据我所知，前端和后端应用程序是分开的。如果前端是一个静态的Web应用程序，并且不是由相同的后端应用程序（服务器）提供服务，而后端是一个简单的REST API，那么您将配置两个Keycloak客户机：

前端应用程序的
• public客户端。它将负责获取JWT代币。
• 只承载客户端，它将附加到后端应用程序。

为了启用授权，您将创建角色（域或客户端范围，从域级别开始，因为它更容易理解）。然后在Keycloak管理UI中为每个用户分配一个角色/S。在此基础上，您应该配置keycloak适配器配置（在后端）。

null

附言。为了调试，我刚刚编写了一个名为brauzie的CLI工具，它将帮助您获取和分析JWT令牌（作用域、角色等）。它可以用于公共和机密客户。您还可以使用Postman和https://jwt.io

HTH：）