DotNet 8 WebApi集成Keycloak服务账号JWT认证签名验证失败排查

核心问题原因 #

• 禁用默认令牌验证器：options.UseSecurityTokenValidators = false; 直接阻止了AddJwtBearer通过Keycloak的OpenID元数据自动加载签名密钥，这是触发IDX10500错误的根本原因。
• 受众配置错误：Service Account模式下，Keycloak颁发的JWT的aud（受众）字段是你创建的Service Account Client的ID，而非默认的account。
• 手动覆盖验证参数干扰自动流程：指定Authority后，AddJwtBearer会自动从Keycloak元数据中获取签名密钥、Issuer等验证参数，手动设置TokenValidationParameters会破坏这一自动配置逻辑。

修正后的认证配置 #

IdentityModelEventSource.ShowPII = true;

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        // Keycloak的Realm地址（需与Token中的iss字段完全一致）
        options.Authority = "http://host.docker.internal:7080/realms/master";
        // 替换为你的Service Account Client的实际ID
        options.Audience = "your-service-account-client-id";
        options.RequireHttpsMetadata = false;
        
        // 移除禁用验证器的配置，删除手动设置的TokenValidationParameters
    });

builder.Services.AddAuthorization();

关键验证步骤 #

1. 解析JWT确认字段：将Postman获取的JWT用本地解析工具打开，检查：
   • iss字段值是否与options.Authority完全匹配（若Keycloak在Docker内运行，Token中的iss可能是http://localhost:7080/realms/master，此时需同步修改options.Authority，确保WebApi能访问该地址）
   • aud字段值是否为你的Service Account Client的ID，确保options.Audience与之完全一致
2. 确认元数据可访问：在WebApi所在环境中，访问http://host.docker.internal:7080/realms/master/.well-known/openid-configuration，确保能正常获取包含jwks_uri的元数据，这是自动加载签名密钥的前提。

关于手动设置Client Secret无效的说明 #

Service Account模式下，Keycloak采用RSA非对称加密签名JWT，签名验证需要使用Keycloak的公钥，而非Client Secret。Client Secret仅用于获取Token时的身份验证，不能作为签名验证密钥，因此手动设置会提示格式无效。

内容的提问来源于stack exchange，提问作者Alex