KeyClope，如何保护不服务于网页的spring boot后端？

Question

我有一个前端，我通过让我们的登录页面向Keycloak服务器发出POST请求来保护它，这样我就可以获取访问令牌（JWT）。我们不使用kecloak提供的登录页面。此前端对后端（spel-boot）servlet进行REST调用，该servlet使用这些调用来查询数据库并将数据发送回前端。我看到的大多数关于保护spel-boot应用程序的教程都使用spel-boot来服务网页，并使用默认的keycloak登录页面。我的问题是，我如何在没有使用keycloak登录页面的情况下使用keycloak spel-boot适配器？是否有某种方法可以在每个请求中传递keycloak访问令牌，相当于keycloak可能期望的方式？

我正在使用keycloak版本7.0.0，并按角色保护每个endpoint。

我已经尽我所能地学习了本教程，除了@Controller的用法不同，并且没有像前面提到的那样使用任何spring boot模型对象来服务网页。目前，每个请求都会返回500个错误。这就引出了这个问题。https://www.thomasvitale.com/spring-boot-keycloak-security/

谢谢！

Answer 1

这个问题非常广泛，不能适用于Stackoverflow，但最后Stackoverflow的平台可以互相帮助，所以这里有一个解决方案。

在rest api项目中，创建一个KeyClope功能类，该类将对获取数据的所有请求进行身份验证。

让我们来看一个例子，假设我想在KeyClope中创建一个角色，以及在我的DB中创建一个角色，我必须做什么？

假设请求来自Rest客户端或GUI-

public void createRole(String createRoleAPIurl,String accessToken){
RoleRepresentation roleRepresentation = new RoleRepresentation();
roleRepresentation.setName(role.getRoleName());
roleRepresentation.setDescription(role.getDescription());
String convertValue = mapper.writeValueAsString(roleRepresentation);
StringEntity entity = new StringEntity(convertValue);
response = keycloakUtil.fetchURLResponse(createRoleAPIurl, accessToken, entity);
}

和

public CloseableHttpResponse fetchURLResponse(String createRoleAPIurl, String accessToken, StringEntity entity)
            throws IOException, ClientProtocolException {
        CloseableHttpResponse response = null;
        try {
            CloseableHttpClient httpclient = HttpClients.createDefault();
            HttpPost postRequest = new HttpPost(url);
            postRequest.addHeader("Authorization", "bearer " + accessToken);
            postRequest.addHeader("content-type", "application/json");
            postRequest.setEntity(entity);
            response = httpclient.execute(postRequest);
        } catch (Exception e) {

        }
        return response;
    }

在这个示例中，查询将被设置为keydape，所以url类似于https://

希望对你有帮助。