Keyclope:仅通过“用户名”获取访问令牌(无密码)

您没有在问题中指定当前用户是否已登录。您是在验证特定于用户的操作,还是要检索应用程序的用户角色?

用户已登录,正在执行某些操作

我想你用的是钥匙斗篷适配器。然后只需检索会话对象,您就应该在其中的某个地方有额外的信息。

如果没有,您可以自己解析请求。使用OpenId Connect时,始终会为每个请求发送访问令牌 Authorization 标题。令牌是base64编码的,您可以自己解码令牌。

应用程序正在为某个注册用户执行某些操作,而该用户没有登录

用户访问令牌旨在为用户提供权限。正如你在问题中所说: As a third party application, I want... 因此,这里您不是作为登录用户,而是作为应用程序,因此您需要使用客户端凭据。只需授予客户端列出所有用户及其角色的权限即可(使用 view-users 角色,请参阅下面的链接)并使用客户端凭据授权登录。然后,您可以在应用程序业务逻辑中处理细粒度权限。

另请参见:

• Keycloak Client Credentials Flow Clarification
• Keycloak spring security client credential grant
• How to get Keycloak users via REST without admin account

对于那些真正需要从客户端模拟用户的用户,有一个新的RFC: token-echange .

钥匙斗篷 loosely implement it 在回答此问题时

具体参见 https://www.keycloak.org/docs/latest/securing_apps/#direct-naked-impersonation