Keycloak集成OpenID Connect时加密JWT客户端认证报错咨询

配置概述 #

已将Keycloak配置为基于JWT的客户端认证，设置如下：

• 客户端认证：启用，客户端设为机密模式
• 签名算法：Keycloak中配置为RS256
• 凭据配置：客户端认证器使用Signed JWT

合作客户端要求的JWT认证头如下：

{
  "alg": "RSA-OAEP-256",
  "cty": "JWT",
  "enc": "A256GCM",
  "kid": "po6QKfVcfFpGOyWOGMKsvmOFugOHXId6w5kyo6vw1W8"
}

问题描述 #

Keycloak能成功解密传入的JWT，且可在keycloakSession中访问解密后的数据，但当Keycloak尝试将授权码重定向回客户端时，触发"客户端无效"或"客户端凭据无效"错误。

相关日志片段：

after a success context i get this error 2024-11-01 17:39:27,252 DEBUG [org.keycloak.authentication.AuthenticationProcessor] (executor-thread-8) AUTHENTICATE CLIENT
2024-11-01 17:39:27,252 DEBUG [org.keycloak.authentication.ClientAuthenticationFlow] (executor-thread-8) client authenticator: client-secret
2024-11-01 17:39:27,252 DEBUG [org.keycloak.authentication.ClientAuthenticationFlow] (executor-thread-8) client authenticator: client-jwt
2024-11-01 17:39:27,252 ERROR [org.keycloak.services] (executor-thread-8) KC-SERVICES0025: Error when validating client assertion: org.keycloak.jose.jws.JWSInputException: java.lang.IllegalArgumentException: Parsing error
    at org.keycloak.jose.jws.JWSInput.<init>(JWSInput.java:59)
    at org.keycloak.authentication.authenticators.client.JWTClientAuthenticator.authenticateClient(JWTClientAuthenticator.java:111)
    at 

咨询问题 #

如何配置Keycloak以在整个OpenID Connect流程（含最终重定向环节）中正确处理该加密JWT？是否需要自定义Keycloak认证器来全面支持RSA-OAEP-256/A256GCM加密，或有其他方法避免"Invalid client"错误？

问题根源分析 #

从日志和配置来看，核心矛盾在于：Keycloak默认的JWTClientAuthenticator仅支持签名JWT（JWS），而你使用的是加密JWT（JWE）（头中包含enc字段，alg为加密算法而非签名算法）。虽然Keycloak能解密JWE，但在客户端认证流程的后续环节（比如授权码回调阶段），认证器仍会尝试按JWS解析，导致解析错误，最终触发"Invalid client"。

解决方案 #

1. 调整客户端认证流程，适配JWE处理

Keycloak默认的客户端认证流未包含JWE处理逻辑，需自定义认证流：

• 进入Keycloak控制台，导航到Authentication > Flows
• 复制默认的Client Authentication Flow，命名为Custom Client Auth Flow
• 在新流中替换或添加支持JWE的认证执行器，确保流程优先处理加密JWT的解密与验证
• 关联客户端到自定义流：进入客户端配置 > Advanced > Authentication Flow Overrides，将Client Authentication设置为你创建的自定义流

2. 自定义客户端认证器（必要时）

若Keycloak原生不支持RSA-OAEP-256/A256GCM组合的JWE客户端认证，需编写自定义认证器：

• 继承AbstractClientAuthenticator，实现authenticateClient方法
• 在方法中先通过Keycloak的JWEInput类处理解密，再验证解密后的JWT断言的合法性
• 通过SPI扩展将自定义认证器注册到Keycloak
• 在客户端配置的Credentials标签中选择该自定义认证器

3. 验证客户端断言格式与内容

确保解密后的JWT断言符合OpenID Connect客户端认证规范：

• 必须包含iss（与客户端ID一致）、sub（与客户端ID一致）、aud（Keycloak的Token Endpoint URL）、exp（有效过期时间）等必填字段
• 断言的签名算法需与Keycloak客户端配置的RS256匹配

4. 检查Keycloak版本兼容性

旧版本Keycloak对JWE的支持有限，尤其是RSA-OAEP-256这类加密算法。建议升级到Keycloak 21+版本，新版本对JWE客户端认证的支持更完善。

临时规避方案 #

若暂时无法实现自定义认证器，可协调合作客户端调整认证方式：

• 使用**签名JWT（JWS）**替代加密JWT（JWE），算法保持RS256，适配Keycloak默认认证器
• 若必须使用加密，可在客户端侧先签名再加密，确保Keycloak解密后得到合法的JWS断言

内容的提问来源于stack exchange，提问作者mohamed amine salah