Spring Cloud Gateway集成测试：如何兼容登录页与Token头两种认证？

你的推测是对的——当前配置虽然同时声明了oauth2Login和oauth2ResourceServer，但缺少JWT令牌的验证配置，导致网关无法识别请求头中的Bearer令牌。要同时支持两种认证方式，需要完善JWT解码器配置，并确保两种认证机制共存生效。

修改后的安全配置代码 #

@EnableWebFluxSecurity
public class SecurityConfig {

    @Value("${spring.security.oauth2.resourceserver.jwt.jwk-set-uri}")
    private String jwkSetUri;

    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        http.csrf(ServerHttpSecurity.CsrfSpec::disable)
            // 所有请求都需要认证
            .authorizeExchange(exchanges -> exchanges.anyExchange().authenticated())
            // 启用OAuth2登录（适配浏览器端的登录页流程）
            .oauth2Login(Customizer.withDefaults())
            // 启用OAuth2资源服务器（适配请求头携带JWT的API调用）
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(jwt -> jwt.decoder(jwtDecoder())));
        return http.build();
    }

    // 配置JWT解码器，通过Keycloak的JWK端点验证令牌签名
    @Bean
    public JwtDecoder jwtDecoder() {
        return NimbusJwtDecoder.withJwkSetUri(jwkSetUri).build();
    }
}

补充配置文件（application.yml） #

需要添加Keycloak的客户端和资源服务器配置，确保网关能正确与Keycloak交互：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          # Keycloak的JWK证书端点，用于验证JWT签名
          jwk-set-uri: ${KEYCLOAK_AUTH_SERVER_URL}/realms/你的Realm名称/protocol/openid-connect/certs
      client:
        registration:
          keycloak:
            client-id: 你的客户端ID
            client-secret: 你的客户端密钥
            authorization-grant-type: authorization_code
            redirect-uri: "{baseUrl}/login/oauth2/code/keycloak"
            scope: openid,profile,email
        provider:
          keycloak:
            # Keycloak的Issuer URI，用于验证令牌的发行方
            issuer-uri: ${KEYCLOAK_AUTH_SERVER_URL}/realms/你的Realm名称

关键说明 #

1. JWT解码器的必要性：默认的JWT解码器无法自动识别Keycloak的令牌签名规则，必须通过jwk-set-uri指定Keycloak的公钥端点，让网关能验证令牌的合法性。
2. 两种认证机制的共存：oauth2Login负责处理浏览器端的登录会话（跳转登录页、获取会话Cookie），oauth2ResourceServer负责处理API请求的Bearer令牌验证，Spring Security会自动根据请求类型选择对应的认证方式。
3. 测试环境配置：在Test Containers中，需要将Keycloak容器的实际访问地址注入到KEYCLOAK_AUTH_SERVER_URL环境变量中，确保配置中的URI指向正确的容器地址。

内容的提问来源于stack exchange，提问作者isaeed