Docker环境下Keycloak+Spring Boot获取策略执行器失败求助

核心背景 #

基于Keycloak 15.0.1 + Spring Boot 2.7.15构建的Docker应用，稳定运行半年且未做任何配置/代码修改，近期所有请求（含原正常访问的端点）均持续报错。已完成基础验证：直接请求Keycloak服务正常，Spring Boot YAML配置与Keycloak后台配置一致。

下一步排查方向 #

1. 提取关键错误日志 #

• 导出Keycloak容器的完整异常日志，重点锁定认证请求处理阶段的报错（如JWT签名验证失败、Realm状态异常、客户端权限过期等）
• 导出Spring Boot应用的认证相关错误栈，定位是否存在InvalidTokenException、AuthenticationException等具体异常信息

2. 检查Keycloak内部状态 #

• 登录Keycloak管理控制台确认：
  • 目标Realm JCRAM是否正常启用，未被禁用或删除
  • 客户端JC-client状态正常，secret未过期、未被修改
  • 客户端的有效重定向URI、Web Origins配置匹配当前应用部署环境（Docker网络变动可能导致配置匹配失效）
  • 关联用户的角色、权限未被意外变更

3. 验证网络与时间同步 #

• 在Spring Boot容器内执行命令curl http://localhost:8080/auth/realms/JCRAM/.well-known/openid-configuration，确认可正常获取OpenID配置（若使用Docker自定义网络，需将localhost替换为Keycloak容器的服务名/IP）
• 检查Spring Boot容器与Keycloak容器的系统时间是否同步：时间差超过5分钟会导致JWT令牌的签发/过期时间验证失败

4. 排查依赖与缓存问题 #

• 清理Spring Boot应用的本地Maven缓存（~/.m2/repository），重新构建镜像部署，排除依赖包损坏或缓存冲突
• 重启Keycloak容器，清理其持久化目录下的临时缓存文件

配置潜在冲突提示 #

当前配置同时启用了OAuth2 Resource Server JWT和传统Keycloak适配器两种认证方式，可能引发逻辑冲突：

# 两种认证配置共存，建议保留一种
spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://localhost:8080/auth/realms/JCRAM

keycloak:
  # ... 传统Keycloak适配器配置

优化建议：

• 若采用Spring Security OAuth2资源服务器模式，移除所有keycloak前缀的配置，仅保留spring.security.oauth2.resourceserver.jwt相关配置
• 若坚持使用Keycloak适配器，移除spring.security.oauth2.resourceserver相关配置，并确保引入对应Keycloak Starter依赖

内容的提问来源于stack exchange，提问作者ayoub ait si ahmad