从 JWT 令牌中删除角色信息答案

【问题标题】：Remove Roles Information from JWT token从 JWT 令牌中删除角色信息
【发布时间】：2020-01-03 12:11:18
【问题描述】：

我正在使用 keycloak 对应用程序进行身份验证。我想从 keycloak 生成的 JWT 令牌中删除领域访问权限。

拥有领域访问（角色）离子 JWT 令牌是一种不好的做法吗？
有没有办法从 keycloak 服务生成的 JWT 令牌中删除领域访问权限？

【问题讨论】：

标签： java jwt keycloak

【解决方案1】：

我可能错了，但我不认为这是一种不好的做法，因为令牌已签名。客户端将无法在不知道您的秘密的情况下更改令牌有效负载的内容（令牌签名将是错误的）。请务必检查令牌的有效性。
如果您想更改令牌中提供的信息，您应该查看“客户端范围”部分。

从那里，您将能够更改 jwt 令牌的内容。

【讨论】：

我试过这个。但是我的令牌没有通过 keycloak 服务进行验证。你能建议一下吗？得到这个RPT (Requesting Party Token) is not active, this response is returned instead: { "active": false }
我回答了2个问题。我认为这是另一个问题。不幸的是，如果看不到您的配置，就很难知道什么是错误配置的。对不起。
我将配置更改为不在 JWT 令牌中包含领域访问权限。有没有其他东西要随之改变？

【解决方案2】：

我认为，这取决于您的软件边界或环境中存在的安全策略。我们有一个项目，JWT 令牌中的现有用户或客户端角色给安全分析师带来了一个重大安全问题，尽管我们已经在其他关键环境中多次启动它。
顺便说一句，一些软件框架通过使用 JWT 内部的角色来执行一些主动授权检查，因此对于这类系统，它们强制基于他们的安全设计。
总结一下，

尝试询问您部署环境的安全分析师它。

【讨论】：