2.5. 红帽构建的 Keycloak Node.js 适配器

假设您已安装了 Node.js ，请为您的应用程序创建一个文件夹：

mkdir myapp && cd myapp

使用 npm init 命令为您的应用程序创建 package.json 。现在，在依赖项列表中添加红帽构建的 Keycloak 连接适配器：

    "dependencies": {
        "keycloak-connect": "file:keycloak-connect-22.0.13+redhat-00001.tgz"
    }

实例化后，将中间件安装到支持连接的应用程序中： 为此，首先需要安装 Express：

    npm install express

然后，在项目中需要 Express，如下所示：

    const express = require('express');
    const app = express();

并通过在以下代码中添加并在 Express 中配置 Keycloak 中间件：

    app.use( keycloak.middleware() );

最后，通过将以下代码添加到 main.js ，使服务器设置为侦听端口 3000 上的 HTTP 请求：

    app.listen(3000, function () {
        console.log('App listening on port 3000');
    });

如果应用程序在终止 SSL connection Express 的代理后面运行，则必须根据 代理指南后面的表达 进行配置。使用不正确的代理配置可能会导致生成无效的重定向 URI。 配置示例：

    const app = express();
    app.set( 'trust proxy', true );
    app.use( keycloak.middleware() );

    app.get( '/complain', keycloak.protect(), complaintHandler );

    app.get( '/special', keycloak.protect('special'), specialHandler );

使用不同应用程序的应用程序角色 保护资源 ：

    app.get( '/extra-special', keycloak.protect('other-app:special'), extraSpecialHandler );

使用 realm 角色保护资源：

    app.get( '/admin', keycloak.protect( 'realm:admin' ), adminHandler );

    app.get('/apis/me', keycloak.enforcer('user:profile'), userProfileHandler);

keycloak-enforcer 方法在两个模式下运行，具体取决于 response_mode 配置选项的值。

    app.get('/apis/me', keycloak.enforcer('user:profile', {response_mode: 'token'}), userProfileHandler);

如果将 response_mode 设置为 令牌 ，则权限代表发送到应用程序的 bearer 令牌代表从服务器获得。在这种情况下，Keycloak 会发布一个新的访问令牌，其权限由服务器授予。如果服务器没有响应具有预期权限的令牌，请求将被拒绝。使用此模式时，您应该能够从请求获取令牌，如下所示：

    app.get('/apis/me', keycloak.enforcer('user:profile', {response_mode: 'token'}), function (req, res) {
        const token = req.kauth.grant.access_token.content;
        const permissions = token.authorization ? token.authorization.permissions : undefined;
        // show user profile
					当应用程序使用会话且您想要从服务器缓存以前的决策时，首选这种模式，并自动处理刷新令牌。这个模式对于充当客户端和服务器的应用程序特别有用。
					如果将 response_mode 设为 权限 （默认模式），服务器只返回授予的权限列表，而不发出新的访问令牌。除了不发布新令牌外，此方法还通过 请求 公开服务器授予的权限，如下所示：
				
    app.get('/apis/me', keycloak.enforcer('user:profile', {response_mode: 'permissions'}), function (req, res) {
        const permissions = req.permissions;
        // show user profile
					无论正在使用中的 response_mode，keycloak.enforcer 方法都将首先尝试检查发送到应用程序的 bearer 令牌中的权限。如果 bearer 令牌已经获得预期权限，则不需要与服务器交互来获取决策。当您的客户端能够在访问受保护的资源前从具有所需权限的服务器获取访问令牌时，这特别有用，因此它们可以使用 Keycloak 授权服务提供的一些功能，如增量授权，并在 keycloak.enforcer 强制访问资源时从服务器获取访问令牌。
					默认情况下，策略 enforcer 将使用定义为应用程序（例如，通过 keycloak.json）定义的 client_id 来引用支持 Keycloak 授权服务的 Keycloak 中的客户端。在这种情况下，客户端不能是公共的，表示它实际上是一个资源服务器。
					如果您的应用程序同时充当公共客户端(frontend)和资源服务器(backend)，您可以使用以下配置引用 Keycloak 中的不同客户端，以及您要强制执行的策略：
				
      keycloak.enforcer('user:profile', {resource_server_id: 'my-apiserver'})

					建议您在 Keycloak 中使用不同的客户端来代表您的前端和后端。
					如果您使用 Keycloak 授权服务启用了您要保护的应用程序，且您在 keycloak.json 中定义客户端凭证，您可以将其他声明推送到服务器，并将其提供给您的策略，以便做出决策。为此，您可以定义一个 claims 配置选项，它需要一个会返回一个带有您要推送的声明的 JSON 的函数：
				
      app.get('/protected/resource', keycloak.enforcer(['resource:view', 'resource:write'], {
          claims: function(request) {
            return {
              "http.uri": ["/protected/resource"],
              "user.agent": // get user agent  from request
        }), function (req, res) {
          // access granted

					有关如何配置 Keycloak 以保护应用程序资源的详情，请参考 授权服务指南。
								要根据 URL 本身的部分保护资源，假设每个部分都有一个角色：