另一个原因可能是，对于这个流，客户端决定是否要在用户没有访问权限的情况下触发异步授权流。这可以在keycloak中通过在请求RPT时传递submit_request=true选项来完成。
有关更多信息，请参阅：https://www.keycloak.org/docs/latest/authorization_services/index.html#_service_authorization_aat

**编辑：**我做了一些进一步的研究，似乎客户必须请求RPT的主要原因是交互式索赔收集或索赔推送的选项。在某些情况下，授权服务器可能没有所有必要的信息来推断用户是否具有访问权限。因此，在可以发布RPT之前，需要客户端和授权服务器之间的进一步交互（例如，用户必须输入一些附加信息）。

的数据
无论如何，在Keycloak中，还有一个选项可以跳过整个过程，直接从资源服务器评估用户权限，使用附加到请求的访问令牌，如下所示：

curl -X POST \
  http://${host}:${port}/realms/${realm}/protocol/openid-connect/token \
  -H "Authorization: Bearer ${access_token}" \
  --data "grant_type=urn:ietf:params:oauth:grant-type:uma-ticket" \
  --data "audience={resource_server_client_id}" \
  --data "permission=Resource A#Scope A" \
  --data "permission=Resource B#Scope B"
  --data "response_mode=decision"

字符串
这将以以下格式给予一个结果，指示用户是否具有指定的权限。

{
    'result': true
}

型
你可以在这里阅读更多：https://www.keycloak.org/docs/latest/authorization_services/index.html#_service_obtaining_permissions