python-keycloak与FastAPI集成：直接获取的Token无法通过认证

核心问题原因 #

你遇到的问题本质是直接调用Keycloak Token接口时，请求参数不完整或不符合客户端配置要求，导致生成的Access Token无法通过FastAPI的验证逻辑。

两种Token获取方式的差异 #

1. 通过/public端点获取Token时，代码中使用keycloak_openid.token("test", "test")，这个方法会自动携带以下关键参数到Keycloak：

   • grant_type=password
   • client_id=fast_api
   • client_secret=secret（因为你的客户端是confidential类型，必须验证客户端身份）

2. 你直接在Postman调用Keycloak Token接口时，大概率遗漏了client_id和client_secret参数，或者参数值不正确，导致Keycloak生成的Token受众（aud字段）不包含fast_api，或者Token的签发逻辑不符合FastAPI中Keycloak客户端的验证规则。

解决步骤 #

1. 修正Postman中的Token请求参数 #

在Postman调用http://localhost:8180/auth/realms/FastApi/protocol/openid-connect/token时，确保使用POST请求，并在x-www-form-urlencoded格式下添加以下参数：

• grant_type: password
• client_id: fast_api
• client_secret: secret
• username: test
• password: test

2. 验证Token的有效性 #

拿到Token后，去jwt.io解析，检查以下字段：

• aud：必须包含fast_api（这是你的客户端ID，Keycloak会验证Token是否是颁发给该客户端的）
• iss：必须是http://localhost:8180/auth/realms/FastApi
• exp：确保Token未过期

3. 优化FastAPI中的Token验证逻辑 #

你的get_current_user方法直接依赖userinfo接口的异常来判断凭证有效性，这种方式不够直观，建议先主动验证Token的签名和有效性，再获取用户信息：

async def get_current_user(token: str = Depends(oauth2_scheme)):
    try:
        # 先验证Token的签名、有效期、受众等
        keycloak_openid.decode_token(
            token,
            key=None,  # 自动从Keycloak获取公钥
            options={
                "verify_signature": True,
                "verify_aud": True,
                "aud": "fast_api",  # 指定要验证的受众
                "verify_exp": True
            }
        )
        # 再获取用户信息
        userinfo = keycloak_openid.userinfo(token)
        user_roles = userinfo.get("roles", [])
        if 'admin' not in user_roles:
            raise HTTPException(
                status_code=status.HTTP_403_FORBIDDEN,
                detail="用户无权访问该资源",
            )
        return user_roles
    except Exception as e:
        # 可以打印异常信息方便调试，上线后移除
        print(f"Token验证失败: {str(e)}")
        raise HTTPException(
            status_code=status.HTTP_401_UNAUTHORIZED,
            detail="无法验证凭证",
        )

4. 检查Keycloak客户端配置 #

确保你的fast_api客户端配置正确：

• 访问类型设置为confidential（因为你使用了客户端密钥）
• 开启Direct Access Grants Enabled（允许密码流程）
• 验证Valid Redirect URIs（虽然密码流程不需要，但确保没有限制）

额外注意点 #

• 你的代码中oauth2_scheme使用的是OAuth2AuthorizationCodeBearer，但实际上业务用的是密码流程，更合适的是使用OAuth2PasswordBearer，不过这不是导致当前问题的直接原因，只是规范问题：

from fastapi.security import OAuth2PasswordBearer

oauth2_scheme = OAuth2PasswordBearer(tokenUrl="http://localhost:8180/auth/realms/FastApi/protocol/openid-connect/token")

内容的提问来源于stack exchange，提问作者stylepatrick