我目前正在开发一个演示原型，通过Spring Gateway保护Spring服务免受Keycloak攻击。在我目前的配置下，每次我访问网关中的一个MapURL时，它都会将我重定向到keycloak的登录屏幕，在引入我的凭据后，它会将我重定向到服务，结果会显示在屏幕上。现在，我正在尝试使用角色来保护服务中的特定端点，因此任何试图访问它们的用户都需要具有特定的角色。为了做到这一点，我在配置中添加了“@EnableMethodSecurity”注解，如下所示：

@Configuration
@EnableWebSecurity
@EnableMethodSecurity
public class SecurityConfiguration {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests((authorize) -> authorize.anyRequest().authenticated()).oauth2ResourceServer((oauth2ResourceServer) -> oauth2ResourceServer.jwt((jwt) -> jwt.decoder(jwtDecoder())));
        //OLD http.authorizeRequests(authorize -> authorize.anyRequest().authenticated()).oauth2ResourceServer(OAuth2ResourceServerConfigurer::jwt);
        return http.build();
    }

    @Bean
    public JwtDecoder jwtDecoder() {
        return NimbusJwtDecoder.withJwkSetUri("http://[KEYCLOAK_IP]:8080/realms/my-realm/protocol/openid-connect/certs").build();
    } 
}

字符串
我还向服务的一个端点添加了“@PreAuthorize（“hasRole（'myrole'）”）注解，如下所示：

@Controller
public class ExampleController {

    @PreAuthorize("hasRole('myrole')")
    @GetMapping("/securedexample")
    @ResponseBody
    public String getString(){
        return "secured string";
    }

    
    @GetMapping("/getToken")
    @ResponseBody
    public String getString2(){
        Jwt token =(Jwt)SecurityContextHolder.getContext().getAuthentication().getPrincipal();
        return "Value of the token:*******" + token.getTokenValue() + "*******";
    }

型
每次我尝试访问使用@PreAuthorize注解保护的服务时，无论我登录的用户是谁，我都会在浏览器中看到一个空白屏幕，并且可以在日志中看到以下内容：
第一个月
它似乎没有在登录的用户中找到该角色。我在keycloak上有2个用户，每个用户都有不同的角色（myrole和myrole 2），当我检查登录用户（具有正确角色的用户）的JWS令牌的内容时，我可以看到它具有该角色。接下来，我粘贴令牌的相关部分：

...
  "realm_access": {
    "roles": [
      "offline_access",
      "uma_authorization",
      "myrole",     <-- The role is here!
      "default-roles-my-realm"
    ]
  },
...

型
我在互联网上搜索了一下，发现了几种保护和端点的代码变体：

@PreAuthorize("hasRole('myrole')")
@PreAuthorize("hasRole('ROLE_myrole')") 
@PreAuthorize("hasAuthority('myrole')")
@PreAuthorize("hasAuthority('ROLE_myrole')")

型
我已经尝试了所有4个变化，没有运气。我也搜索并找到了这个链接PreAuthorize not working on Controller，但它似乎使用了上面相同的代码。有什么线索告诉我我做错了什么吗？提前感谢！