Keycloak 使用自定义协议映射器从数据库/外部源添加额外声明

我正在使用自定义协议映射器1将经过身份验证的2 GraphQL 查询3发送到外部系统，并将 JSON 响应数据放入用户的访问令牌 (JWT) 中。它目前与 Keycloak 10 一起运行。==> 你可以在这个存储库中找到完整的代码。(1) 自定义协议映射器正如其他人所指出的，您的项目至少需要 3 个文件。实现AbstractOIDCProtocolMapper及其方法setClaim（以及其他方法）的Java 类。一个jboss-deployment-structure.xml包含用于部署的依赖文件。一个org.keycloak.protocol.ProtocolMapper包含自定义协议映射器的全名的文件。这是文件夹结构：$ tree src/ -Asrc/└── main    ├── java    │   └── com    │       └── thohol    │           └── keycloak    │               └── JsonGraphQlRemoteClaim.java    └── resources        └── META-INF            ├── jboss-deployment-structure.xml            └── services                └── org.keycloak.protocol.ProtocolMapper(2) 认证远程请求如果远程端点需要身份验证，我们可以从 Keycloak 获取访问令牌。完整的流程如下（尤其是步骤 3-6）：用户向 Keycloak 发送身份验证请求（即“登录”）。该请求是针对特定的 Keycloak 客户端发出的，例如login-client。由于login-client配置为使用自定义协议映射器，因此在处理用户的身份验证请求时会执行其代码。自定义协议映射器向 Keycloak 发送第二个身份验证请求。该请求是针对第二个Keycloak 客户端（例如，remote-claims-client）使用client_credentials（客户端 ID + 秘密）进行的。自定义协议映射器接收客户端的访问令牌remote-claims-client。自定义协议映射器向远程端点发送请求。一个Authorization: Bearer <access token>标头被添加到请求标头中。远程端点接收请求并验证 JWT 令牌。在许多情况下，应该进一步限制访问。例如，只允许为相应的remote-claims-client.远程端点返回自定义远程声明数据。自定义协议映射器接收自定义远程声明数据并将其放入用户的访问令牌中。Keycloak 向用户返回带有自定义声明的访问令牌。步骤 3/4 可以在 Java 中实现为一个简单的 HTTP POST 请求（省略错误处理！）：// Call remote serviceHttpClient httpClient = HttpClient.newHttpClient();URIBuilder uriBuilder = new URIBuilder(keycloakAuthUrl);URI uri = uriBuilder.build();HttpRequest.Builder builder = HttpRequest.newBuilder().uri(uri);String queryBody = "grant_type=client_credentials&client_id=remote-claims-client&client_secret=dfebc62a-e8d7-4ab3-9196-258ddb5684ab";builder.POST(HttpRequest.BodyPublishers.ofString(queryBody));// Build headersbuilder.header(HttpHeaders.CONTENT_TYPE , MediaType.APPLICATION_FORM_URLENCODED);// CallHttpResponse<String> response = httpClient.send(builder.build(), HttpResponse.BodyHandlers.ofString());// Process ResponseJsonNode json = return new ObjectMapper().readTree(response.body());String accessToken = json.findValue("access_token").asText();(3) 使用GraphQL Queries进行外部请求GraphQL 查询本质上是一个 HTTP POST 请求，body类似于{    "query": "query HeroName($episode: Episode) {        hero(episode: $episode) {            name        }    }",    "variables": {        "episode" : "JEDI"    }}这可以从 Java 发送，如（省略错误处理！）：HttpClient httpClient = HttpClient.newHttpClient();URIBuilder uriBuilder = new URIBuilder(remoteUrl);URI uri = uriBuilder.build();HttpRequest.Builder builder = HttpRequest.newBuilder().uri(uri);String queryBody = "{    \"query\": \"query HeroName($episode: Episode) {        hero(episode: $episode) {            name        }    }\",    \"variables\": {        \"episode\" : \"JEDI\"    }}";builder.POST(HttpRequest.BodyPublishers.ofString(queryBody));// Build headersbuilder.header(HttpHeaders.CONTENT_TYPE , MediaType.APPLICATION_JSON);builder.header(HttpHeaders.AUTHORIZATION, "Bearer " + accessToken);// CallHttpResponse<String> response = httpClient.send(builder.build(), HttpResponse.BodyHandlers.ofString());// Process Response and add to tokenJsonNode json = return new ObjectMapper().readTree(response.body());clientSessionCtx.setAttribute("custom_claims", json);

Keycloak 使用自定义协议映射器从数据库/外部源添加额外声明

2回答