Spring客户端Token调用Keycloak Account API返回401的原因排查

一、代码中的直接错误：误用ID Token而非Access Token #

你当前代码里用的是ID Token（oidcUser.getIdToken().getTokenValue()）调用Account API，但Keycloak的Account API只认Access Token。ID Token仅用于身份认证，不具备API访问权限；Access Token才是授权访问受保护API的有效凭证。

修改代码中的Token获取逻辑：

// 替换原有的getIdToken()为getAccessToken()
String accessToken = oidcUser.getAccessToken().getTokenValue();

二、客户端配置与内置Account客户端的核心差异 #

1. Token受众（Audience）不匹配 #

Keycloak内置account客户端返回的Token，其aud（受众）字段包含account；而你自己的客户端默认返回的Token受众是自身的client-id。Account API受account客户端保护，仅接受受众包含account的Token。

解决方法：

• 打开Keycloak控制台，找到你的Spring Boot客户端，进入Client Scopes标签页
• 点击Add Client Scope，选择内置的account Scope添加（设为Default或Optional均可）
• 确保授权请求包含account Scope（Spring Security OAuth2会自动请求Default Scopes，若设为Optional则需手动指定）

2. 缺少必要的权限Scope #

Account API需要profile、email等基础Scope来获取用户信息，内置account客户端默认已包含这些Scope。你需要确保自己的客户端配置了这些Scope：

• 检查客户端的Default Client Scopes，确认包含profile、email、account这几个内置Scope
• 若未包含，手动将这些Scope添加到Default列表中

3. 角色配置（非必需但需确认） #

view-profile是Keycloak内置角色，用于控制用户查看自身资料的权限。虽然Account API主要通过Scope授权，但需确认：

• 你的客户端已关联view-profile角色（在客户端的Roles标签页，确认该角色存在）
• 当前登录用户已被分配该角色（或在Realm的Default Roles中把view-profile设为默认角色，让所有用户自动拥有）

三、验证步骤 #

1. 修改代码后重启应用，登录后获取Access Token
2. 解码Token（可通过Keycloak控制台的Token解码器），确认aud字段包含account，且scope字段包含profile、account等内容
3. 再次调用Account API，确认返回200状态码

内容的提问来源于stack exchange，提问作者Jim P