Spring Boot 3中OAuth2 JWT认证遇网络超时问题的解决方案咨询

除了调整RestTemplate的超时设置，你还可以通过以下几种方式处理这类网络不稳定导致的问题：

1. 自定义OIDC元数据缓存策略 #

Spring Security默认会缓存OIDC配置（/.well-known/openid-configuration），但你可以自定义缓存的过期时间、容量，甚至允许缓存空值，避免缓存过期时单次请求失败就导致认证崩溃：

@Bean
public JwtDecoder jwtDecoder(OAuth2ResourceServerProperties properties) {
    NimbusJwtDecoder jwtDecoder = NimbusJwtDecoder.withIssuerLocation(properties.getJwt().getIssuerUri())
            .restOperations(customRestTemplate())
            .build();
    
    // 配置缓存：1小时过期、最大缓存100条、允许缓存空值
    OAuth2AuthorizationServerMetadataCache cache = new OAuth2AuthorizationServerMetadataCache(
            CacheBuilder.newBuilder()
                    .expireAfterWrite(1, TimeUnit.HOURS)
                    .maximumSize(100)
                    .build()
    );
    jwtDecoder.setAuthorizationServerMetadataCache(cache);
    
    return jwtDecoder;
}

2. 为OIDC配置请求添加重试机制 #

给RestTemplate添加重试拦截器，针对网络超时类的异常自动重试，用指数退避策略避免频繁请求：

@Bean
public RestTemplate customRestTemplate() {
    RestTemplate restTemplate = new RestTemplate();
    SimpleClientHttpRequestFactory requestFactory = new SimpleClientHttpRequestFactory();
    requestFactory.setConnectTimeout(5000);
    requestFactory.setReadTimeout(5000);
    restTemplate.setRequestFactory(requestFactory);
    
    // 添加重试拦截器，最多重试3次
    restTemplate.getInterceptors().add((request, body, execution) -> {
        int maxRetries = 3;
        Exception lastException = null;
        for (int i = 0; i < maxRetries; i++) {
            try {
                return execution.execute(request, body);
            } catch (ResourceAccessException e) {
                lastException = e;
                // 指数退避等待
                try {
                    Thread.sleep(1000 * (i + 1));
                } catch (InterruptedException ie) {
                    Thread.currentThread().interrupt();
                }
            }
        }
        throw lastException;
    });
    return restTemplate;
}

3. 启动时预加载OIDC配置 #

在应用启动阶段主动获取OIDC配置并缓存，避免运行时首次请求或缓存过期时的网络依赖：

@EventListener(ApplicationReadyEvent.class)
public void preloadOidcConfiguration(OAuth2ResourceServerProperties properties) {
    try {
        RestTemplate restTemplate = customRestTemplate();
        String oidcConfigUrl = properties.getJwt().getIssuerUri() + "/.well-known/openid-configuration";
        restTemplate.getForObject(oidcConfigUrl, OAuth2AuthorizationServerMetadata.class);
    } catch (Exception e) {
        // 加载失败时打印警告，不阻断应用启动
        LoggerFactory.getLogger(getClass()).warn("预加载OIDC配置失败，后续认证可能受影响", e);
    }
}

4. 静态配置跳过动态获取OIDC元数据 #

如果Keycloak的OIDC配置相对稳定，直接硬编码JWT验证参数（比如公钥、Issuer），彻底跳过动态获取步骤：

@Bean
public JwtDecoder jwtDecoder() {
    // 从Keycloak控制台获取公钥并加载
    RSAPublicKey publicKey = ...; 
    return NimbusJwtDecoder.withPublicKey(publicKey)
            .build()
            .configure(jwt -> jwt.issuer("{insert-keycloak-issuer-link-here}"));
}

补充：升级前的Keycloak适配器确实内置了重试、缓存和故障转移机制，而Spring Security OAuth2资源服务器的默认实现更轻量化，这类容错逻辑需要手动配置。

内容的提问来源于stack exchange，提问作者Max Mazur