Docker化FastAPI后端Keycloak多发行方配置问题求助

方案1：直接配置多合法发行方（快速解决） #

FastAPI常用的python-jose库支持在令牌验证时传入多个合法的发行方（Issuer）列表，无需复杂自定义逻辑：

from jose import jwt
from jose.exceptions import JWTError
from fastapi import HTTPException, Depends
from fastapi.security import OAuth2PasswordBearer

oauth2_scheme = OAuth2PasswordBearer(tokenUrl="token")
# 替换为你的Keycloak Realm地址，包含前后端使用的两个合法发行方
VALID_ISSUERS = [
    "http://localhost:90/realms/your-realm",
    "http://host.docker.internal:90/realms/your-realm"
]
# 从Keycloak获取公钥，可通过 http://localhost:90/realms/your-realm/protocol/openid-connect/certs 下载
PUBLIC_KEY = "-----BEGIN PUBLIC KEY-----\n[你的公钥内容]\n-----END PUBLIC KEY-----"

def verify_token(token: str = Depends(oauth2_scheme)):
    try:
        payload = jwt.decode(
            token,
            PUBLIC_KEY,
            algorithms=["RS256"],
            issuer=VALID_ISSUERS,
            audience="your-client-audience"  # 替换为你的客户端Audience
        )
        return payload
    except JWTError:
        raise HTTPException(status_code=401, detail="令牌验证失败")

在接口中直接使用该依赖即可：

@app.get("/protected")
def protected_route(user_info: dict = Depends(verify_token)):
    return {"user_id": user_info["sub"]}

方案2：统一Keycloak访问地址（长期优雅方案） #

多发行方问题本质是前后端访问Keycloak的地址不一致导致的，统一地址可从根源解决：

1. 在本地hosts文件添加映射：127.0.0.1 keycloak.local
2. 修改Keycloak Realm配置中的Frontend URL为http://keycloak.local:90/realms/your-realm
3. 前端和后端均使用http://keycloak.local:90访问Keycloak
4. Docker容器中配置extra_hosts（docker-compose.yml示例）：

   services:
     backend:
       extra_hosts:
         - "keycloak.local:host.docker.internal"
   

这样令牌中的发行方会统一为keycloak.local:90，无需修改验证逻辑。

方案3：适配封装类库（如fastapi-keycloak） #

如果使用fastapi-keycloak这类封装库，可重写令牌验证逻辑支持多发行方：

from fastapi_keycloak import KeycloakFastAPI
from jose import jwt
from fastapi import HTTPException, Depends

keycloak = KeycloakFastAPI(
    server_url="http://host.docker.internal:90/",
    client_id="your-client-id",
    client_secret="your-client-secret",
    realm="your-realm",
    callback_uri="http://localhost:8000/callback"
)

# 重写get_current_user依赖，替换默认验证逻辑
async def custom_get_current_user(token: str = Depends(keycloak.oauth2_scheme)):
    try:
        payload = jwt.decode(
            token,
            keycloak.public_key,
            algorithms=["RS256"],
            issuer=VALID_ISSUERS,  # 复用方案1中的VALID_ISSUERS列表
            audience=keycloak.client_id
        )
        return payload
    except JWTError:
        raise HTTPException(status_code=401, detail="令牌验证失败")

内容的提问来源于stack exchange，提问作者stefan raab