Keycloak Policy Enforcer で、認証済みの利用者が URL の工夫だけで認可ポリシーをすべて回避できる

何が起きたか

Keycloak Policy Enforcer の URI 比較に誤りがあります。設定されたアクセス拒否ページのパスをリクエスト URL のパスの一部やクエリパラメーターに含めるだけで、ロール・スコープ・UMA の権限チェックを含むすべての認可ポリシーが回避されます。認証済みであれば誰でも、本来アクセスできない保護されたリソースにアクセスできます。