java - 从 JWT 令牌中删除角色信息

Question

我正在使用 keycloak 对应用程序进行身份验证。我想从 keycloak 生成的 JWT 令牌中删除领域访问权限。

1. 拥有领域访问（角色）离子 JWT 令牌是一种不好的做法吗？
2. 有没有办法从 keycloak 服务生成的 JWT 令牌中删除领域访问？

标签： javajwtkeycloak

Answer 1

1. 我可能错了，但我不认为这是一种不好的做法，因为令牌已签名。客户端将无法在不知道您的秘密的情况下更改令牌有效负载的内容（令牌签名将是错误的）。请务必检查令牌的有效性。

2. 如果您想更改令牌中提供的信息，您应该查看“客户端范围”部分。

从那里，您将能够更改 jwt 令牌的内容。