Spring Security 6.x无需编写OAuth2 Provider能否集成Keycloak/OAuth2？

针对你的疑问逐一解答： #

1. 是否必须为Keycloak客户端设置保密访问并配置client-secret？ #

不需要。如果你的Angular是SPA类型的前端，在Keycloak里把客户端设为public类型即可，这种场景下Spring Security配置里只需要指定client-id，完全不用填client-secret。只有后端服务这类保密客户端才需要配置client-secret，你的场景用公共客户端完全满足需求。

2. 是否需要手动配置登录/注销、用户服务、客户端注册表？ #

• 登录/注销：不用自己编写代码，Spring Security 6依然支持自动处理登录跳转和注销逻辑，只要开启OAuth2登录和资源服务器功能即可。
• 用户服务：不需要自定义用户服务，Spring Security会自动通过OIDC端点拉取用户信息并转换为Authentication对象，默认就能获取用户名、角色等核心数据。
• 客户端注册表：完全不用手动维护，和旧版本逻辑一致，通过OIDC发现端点就能自动获取所有客户端配置信息。

3. 是否需要手动配置原版本中通过OIDC配置端点自动获取的信息？ #

不需要。只要在配置里指定Keycloak的Realm地址（issuer-uri），Spring Security会自动拼接.well-known/openid-configuration路径，自动拉取授权端点、令牌端点、JWKS URI等所有必要配置，不用你手动逐个填写。

核心配置示例（application.yml） #

spring:
  security:
    oauth2:
      # 配置OAuth2客户端，支持前端登录跳转
      client:
        registration:
          keycloak:
            client-id: 你的Angular客户端ID
            client-name: Keycloak
            authorization-grant-type: authorization_code
            redirect-uri: "{baseUrl}/login/oauth2/code/keycloak"
        provider:
          keycloak:
            issuer-uri: https://你的Keycloak域名/auth/realms/你的Realm名称
      # 配置资源服务器，保护REST API
      resourceserver:
        jwt:
          issuer-uri: https://你的Keycloak域名/auth/realms/你的Realm名称

额外注意点 #

• 因为你的应用同时提供前端页面和REST API，所以必须同时开启OAuth2客户端和资源服务器两个模块，这是和旧版本配置的主要区别。
• 要确保Keycloak客户端的Valid Redirect URIs包含前端的回调地址，以及上述配置中Spring Boot应用的回调地址。

内容的提问来源于stack exchange，提问作者user4512668