當平台基於開源專案建構，需要依據使用者角色動態顯示或隱藏功能模組時，如何在不侵入上游程式碼的前提下實現功能級存取控制？本議程將分享我們如何透過 OAuth2 Proxy 搭配 Keycloak，結合 Istio RequestAuthentication 與 AuthorizationPolicy，完成從身份驗證到授權判定的完整流程。然而在 OAuth2 Proxy 架構下，前端無法直接取得 JWT Token 中的使用者資訊，也就無法據此優化使用者體驗。我們將進一步研究如何透過 Istio 將 Token 中的資訊轉換為 Response Header 傳遞給前端，探討不同做法的適用場景、能力邊界與限制，分享我們在多種做法之間的選型考量。

聽眾收穫：

1. 了解如何透過 OAuth2 Proxy、Keycloak 與 Istio 組合，在不修改應用程式碼的前提下實現功能級存取控制。
2. 知道在不暴露 JWT Token 的情況下，如何將使用者資訊透過 Response Header 安全地傳遞給前端。
3. 獲得 VirtualService 與 EnvoyFilter 在設定 Response Header 時的選型判斷框架，面對類似需求時能快速評估該用哪種做法。