oauth-2.0 - Keycloak -- OAuth2 -- 同意页面

Question

评估可能利用 KeyCloak 来保护 API --- 仍然围绕着 KeyCloak。

工作流程:1)用户接入应用A2) 用户通过 Keycloak OpenID Connect 向应用程序 A 进行身份验证3) 应用程序 A 调用平台 X 上的 API——平台 X 上的 API 受 KeyCloak OAuth2 保护——以检索用户的 PII(比如邮件、地址、最喜欢的啤酒)

问题:KeyCloak 能否针对上述第 3 步向用户出示同意书——即用户同意应用程序 A 可以调用平台 X 的 API 来检索有关用户 w.r.t 邮件、地址、最喜欢的啤酒的数据？

Answer 1

这取决于..如果两个应用程序是完全独立的，但它们都在同一个 keycloak 服务器的同一个领域内，那么您可以在应用程序之间实现 SSO，您不需要检索信息，因为从 keycloak 收到的 token 将可用于 App X与提供给应用程序 A 的内容相同。API 会将您视为应用程序 A 中的您。这意味着您将“自动登录”。

但是，如果它们受到两个不同的 Keycloak 服务器实例的保护，那么第二个应用程序应该显示同意消息。例如，我使用 Keycloak 保护的约会网站要求您连接到 Facebook，以便它会填充您喜欢的页面列表以将您与某人匹配......Facebook 登录对话框将弹出供您登录，然后询问您是否允许 App A 查看您喜欢的页面和兴趣。