使用Keycloak和.NET内核的基于角色的授权

Question

{
  "realm_access": {
    "roles": [
      "tester"
    ]
  },
  "resource_access": {
    "template": {
      "roles": [
        "developer"
      ]
    },
    ...
  },
  ...
}

在.NET core中，我尝试了一系列方法，例如在我的控制器方法中添加[authorize(Roles=“tester”）]或[authorize(Roles=“developer”）]以及使用基于策略的授权，在此我检查authorizationHandler 实现中的context.user.isinRole（“tester”）。

如果我在身份验证处理程序中设置了一些断点。当它被击中时，我可以看到“tester”和“developer”角色被列为context.user.claimsIEnumerable下的项，如下所示。

{realm_access: {"roles":["tester"]}}
{resource_access: {"template":{"roles":["developer"]}}}

因此，通过验证context.user.claims集合中realm_access和resource_access的值，我应该能够成功地在身份验证处理程序中进行授权，但这需要我反序列化声明值，这些声明值似乎只是JSON字符串。

我在想一定有更好的办法，否则我做的事情就不对了。

Answer 1

“aspnetcore.authorization”在名为“roles”的声明（字段）中需要角色。并且此声明必须是string数组（多值）。您需要在Keycloak端进行一些配置。

第一种选择：

您可以更改现有的角色路径。

null

第二种选择：

如果不想接触现有路径，可以创建一个新的映射器，在根处也显示相同的角色。

转到Keycloak管理控制台>客户端作用域>角色>映射器>创建

null