Quarkus 2.16.10.Final注解式OIDC多租户生产部署报RoutingContext失败(500)

问题本质 #

这是Quarkus 2.16.x版本注解式OIDC多租户在生产模式下的已知配置加载缺陷，并非你的配置有误。

原因说明 #

Quarkus 2.16.x的OIDC多租户实现中，非默认租户的配置（如quarkus.oidc.test.*）在生产模式下会被默认配置构建器忽略，仅加载默认租户的配置。当请求携带test租户的JWT时，系统找不到对应租户的配置，会自动 fallback 到默认租户进行认证，最终因令牌 issuer 不匹配抛出AuthenticationFailedException。

解决方案 #

1. 显式启用多租户模式 #

在配置文件中添加quarkus.oidc.multitenant.enabled=true，强制生产模式加载所有租户的配置：

##############################################
# Quarkus OIDC configuration
##############################################

quarkus.http.auth.proactive=false
# 必须显式开启多租户，生产模式才会加载非默认租户配置
quarkus.oidc.multitenant.enabled=true

quarkus.oidc.auth-server-url = http://127.0.0.1:8180/realms/<DEFAULT_REALM_NAME>
quarkus.oidc.token.issuer = http://127.0.0.1:8180/realms/<DEFAULT_REALM_NAME>
quarkus.oidc.client-id = <DEFAULT_REALM_CLIENT_NAME>
quarkus.oidc.credentials.secret = <DEFAULT_REALM_CLIENT_SECRET>
quarkus.oidc.application-type = service

quarkus.oidc.test.auth-server-url = http://127.0.0.1:8180/realms/<SECOND_REALM_NAME>
quarkus.oidc.test.token.issuer=http://127.0.0.1:8180/realms/<SECOND_REALM_NAME>
quarkus.oidc.test.client-id = <SECOND_REALM_CLIENT_NAME>
quarkus.oidc.test.credentials.secret = <SECOND_REALM_CLIENT_SECRET>
quarkus.oidc.test.application-type = service

2. 确认注解使用正确性 #

确保技术型API的方法/类上正确标注@Tenant("test")注解，示例：

@GET
@Path("/tech-endpoint")
@Tenant("test")
@Authenticated
public Response handleTechRequest() {
    // 业务逻辑
    return Response.ok().build();
}

3. 预验证生产模式配置 #

部署到集群前，可通过以下命令模拟生产模式验证配置是否生效：

./mvnw quarkus:dev -Dquarkus.profile=prod

补充说明 #

该配置缺陷在Quarkus 2.17.x及后续版本中已被修复，无需显式开启多租户开关。若后续版本升级，可移除quarkus.oidc.multitenant.enabled=true配置。

内容的提问来源于stack exchange，提问作者pompom