Quarkus SmallRye JWT与GCP IAP集成配置问题咨询

我正在尝试集成Quarkus SmallRye JWT与GCP身份感知代理（IAP）。GCP负载均衡器会在x-goog-iap-jwt-assertion请求头中转发JWT，我该如何配置SmallRye JWT，使其能从这个不带Bearer scheme的头中获取令牌，并且使用GCP IAP提供的公钥进行验证？

我试过以下配置：

mp.jwt.verify.publickey=MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE43cTT9GWJlLTzgB...
quarkus.smallrye-jwt.enabled=true
mp.jwt.token.header=x-goog-iap-jwt-assertion

但始终收到401错误响应：

* Mark bundle as not supporting multiuse
< HTTP/1.1 401 Unauthorized
< www-authenticate: Bearer
< content-length: 0

你需要调整两项配置来适配GCP IAP的JWT格式：

1. 关闭Bearer前缀校验
   SmallRye JWT默认要求令牌头必须带有Bearer 前缀，而GCP IAP转发的JWT没有这个前缀。添加以下配置禁用前缀检查：

quarkus.smallrye-jwt.token.header.scheme=none

2. 使用公钥URL而非硬编码公钥
   GCP IAP的公钥会定期轮换，硬编码公钥会导致后续验证失效。改用公钥地址让框架自动获取最新密钥：

mp.jwt.verify.publickey.location=https://www.gstatic.com/iap/verify/public_key

最终完整配置：

quarkus.smallrye-jwt.enabled=true
mp.jwt.token.header=x-goog-iap-jwt-assertion
quarkus.smallrye-jwt.token.header.scheme=none
mp.jwt.verify.publickey.location=https://www.gstatic.com/iap/verify/public_key

• 原配置未关闭Bearer前缀校验，框架会拒绝x-goog-iap-jwt-assertion头中不带前缀的JWT，返回401 Unauthorized。
• 硬编码公钥无法应对GCP公钥的轮换机制，长期运行会出现验证失败问题。

内容的提问来源于stack exchange，提问作者Born78