Spring Boot OAuth2集成Keycloak登录后未认证及角色失效问题

核心问题分析 #

登录回调至/home后用户仍处于匿名状态，角色权限失效，本质是认证流程未正确完成，或Keycloak返回的角色未被Spring Security解析。结合你的配置和调试结果，问题集中在回调URI配置错误、角色映射缺失两点。

解决方案步骤 #

1. 修正回调URI配置 #

你当前将redirect-uri设为http://localhost:8180/home，跳过了Spring OAuth2的认证处理端点，导致认证状态无法被正确存储。需修改为Spring OAuth2的标准回调地址：

修改application.properties：

# 替换原redirect-uri配置
spring.security.oauth2.client.registration.keycloak.redirect-uri={baseUrl}/login/oauth2/code/{registrationId}

SecurityConfig中保留defaultSuccessUrl("/home", true)即可，认证完成后会自动跳转到/home页面。

2. 自定义角色转换器，解析Keycloak返回的权限 #

Keycloak返回的角色嵌套在Authorization.springClient.roles中，Spring Security默认不会自动解析这些角色，需自定义转换器将其转为Spring的GrantedAuthority：

创建角色转换器类：

import org.springframework.core.convert.converter.Converter;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.oauth2.jwt.Jwt;

import java.util.Collection;
import java.util.Map;
import java.util.stream.Collectors;

public class KeycloakRoleConverter implements Converter<Jwt, Collection<GrantedAuthority>> {
    @Override
    public Collection<GrantedAuthority> convert(Jwt jwt) {
        Map<String, Object> authorization = (Map<String, Object>) jwt.getClaims().get("Authorization");
        if (authorization == null) {
            return java.util.Collections.emptyList();
        }
        Map<String, Object> clientRoles = (Map<String, Object>) authorization.get("springClient");
        Collection<String> roles = (Collection<String>) clientRoles.get("roles");
        
        // 为角色添加ROLE_前缀，符合Spring Security权限规范
        return roles.stream()
                .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
                .collect(Collectors.toList());
    }
}

更新SecurityConfig，配置JWT解码器和角色转换器：

import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.security.oauth2.jwt.NimbusJwtDecoder;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth
                        .requestMatchers("/", "/loginDebug", "/login", "/roleDebug", "/tokenDebug").permitAll()
                        // 注意权限前缀要和转换器生成的一致，比如ROLE_ADMIN
                        .requestMatchers("/adminPanel").hasAuthority("ROLE_ADMIN")
                        .requestMatchers("/home").authenticated()
                        .anyRequest().authenticated()
                )
                .oauth2Login(oauth2Login -> oauth2Login
                        .loginPage("/login")
                        .defaultSuccessUrl("/home", true)
                )
                // 配置JWT资源服务器，绑定角色转换器
                .oauth2ResourceServer(oauth2 -> oauth2
                        .jwt(jwt -> jwt
                                .jwtAuthenticationConverter(new KeycloakRoleConverter())
                        )
                );

        return http.build();
    }

    @Bean
    public JwtDecoder jwtDecoder() {
        return NimbusJwtDecoder.withJwkSetUri("http://localhost:8080/realms/master/protocol/openid-connect/certs").build();
    }
}

3. 修复调试接口的空指针问题 #

tokenDebug接口未判断authentication是否为空就直接调用getPrincipal()，导致NPE，修改如下：

@GetMapping("/tokenDebug")
public void tokenDebug(OAuth2AuthenticationToken authentication) {
    if (authentication == null) {
        System.out.println("No authentication token found");
        return; // 提前返回，避免后续空指针
    }
    OAuth2User user = authentication.getPrincipal();
    System.out.println("Access Token: " + user.getAttributes().get("access_token"));
}

4. 验证Keycloak客户端配置 #

确保Keycloak中springClient客户端：

• 开启Authorization Code授权类型
• 有效重定向URI包含http://localhost:8180/login/oauth2/code/keycloak
• 目标用户已分配对应角色

验证流程 #

1. 重启Spring Boot应用
2. 访问/login跳转Keycloak完成登录
3. 自动跳转至/home后，调用/roleDebug应输出[ROLE_USER, ROLE_ADMIN]
4. 调用/loginDebug应显示用户认证信息，不再提示未认证

内容的提问来源于stack exchange，提问作者Jakub