Spring Security集成Keycloak调试时出现OAuth2Error(Code not valid)求助

核心原因 #

授权码（authorization_code）存在有效期限制（Keycloak默认有效期通常为60秒）。逐行调试时，断点停留时间过长，导致授权码在调用Keycloak的/token接口完成兑换前就已过期，Keycloak返回invalid_grant错误，进而触发OAuth2AuthorizationException。而释放断点后代码快速执行，授权码仍在有效期内，因此能正常完成token兑换流程。

对比两次日志的时间线也能佐证：调试失败场景中，授权码的有效时长被断点消耗殆尽；成功场景中代码执行速度足够快，授权码未过期。

解决方案 #

1. 临时延长授权码有效期 #

在Keycloak控制台操作：

• 进入目标Realm → 点击Clients → 选择你的客户端 → 切换到Settings标签页
• 找到Authorization Code Lifespan（部分版本显示为Code Lifespan），将其临时调大（比如设置为300秒）
• 调试完成后改回默认值，避免过长有效期带来的安全风险

2. 优化调试策略 #

• 跳过授权码生成到token兑换之间的非关键代码，直接在accessTokenResponseClient.getTokenResponse()这一行设置断点，减少断点等待时间
• 采用条件断点或日志打印的方式调试，避免长时间停留在断点上占用授权码有效期

3. 验证redirect_uri一致性 #

确认Keycloak客户端配置的Valid Redirect URIs与代码中传递的redirect_uri完全一致（包括端口、路径、是否带末尾斜杠等）。虽然当前场景下释放断点能成功，但不一致的redirect_uri也可能导致授权码无效，可作为辅助排查项。

内容的提问来源于stack exchange，提问作者190303458