Keycloak令牌验证报错JsonWebTokenError: invalid token排查求助

一、先确认令牌本身的有效性 #

• 用Keycloak的 introspect 接口验证：向Keycloak的/auth/realms/<你的Realm名>/protocol/openid-connect/token/introspect地址发POST请求，携带参数token（你的令牌）、client_id、client_secret，查看返回的active字段是否为true，确认令牌未过期、未被吊销。
• 检查令牌格式：确保是标准三段式JWT（header.payload.signature，用.分隔），复制到纯文本编辑器里排查是否有多余空格、换行或隐藏字符，避免复制时引入格式问题。

二、排查自定义validateToken函数问题 #

• 核对公钥一致性：从Keycloak控制台「Realm Settings」→「Keys」复制当前Realm的RS256公钥，确保函数中使用的公钥和其完全匹配（注意去掉首尾的-----BEGIN PUBLIC KEY-----和-----END PUBLIC KEY-----，或确保函数能正确处理这些标记）。
• 校验JWT验证参数：
  • issuer必须和Keycloak Realm的内部访问地址一致（Docker环境下用容器名或内部IP，比如http://keycloak:8080/auth/realms/<你的Realm名>，不能用localhost，否则NestJS容器无法解析）
  • audience要和请求令牌时的client_id匹配，若无需校验audience，可在验证选项中关闭该校验
  • 验证算法必须与Keycloak默认的RS256一致，不能误用HS256等其他算法
• 检查令牌前缀处理：确保函数已去掉请求头Authorization: Bearer <token>中的Bearer 前缀，直接传入纯令牌字符串进行验证，这是常见的错误诱因。

三、Docker环境网络与配置检查 #

• 确认容器网络连通性：在NestJS容器内执行ping <keycloak容器名>，验证两个容器处于同一Docker网络且能互相访问，若不在同一网络，需将它们加入自定义网络。
• 核对Keycloak Realm配置：在Realm的「Settings」→「General」中，确保「Root URL」和「Frontend URL」使用容器内部可访问的地址（如http://keycloak:8080/auth/realms/<你的Realm名>），避免使用外部域名或localhost导致内部验证失败。

四、增加调试日志定位细节 #

• 在validateToken函数中添加日志：
  • 打印传入的令牌内容，确认是否为正确的纯令牌字符串
  • 打印验证时使用的公钥、issuer、audience等参数，与Keycloak配置逐一对比
  • 捕获完整的错误信息：将JsonWebTokenError的message和name全部打印，部分情况下错误会包含更具体的提示（如invalid signature、invalid issuer），只是被外层包装为invalid token
• 先用jsonwebtoken库的decode方法解析令牌（不验证签名），查看payload中的iss（发行者）、exp（过期时间）、aud（受众）等字段是否符合预期，快速定位参数不匹配问题。

内容的提问来源于stack exchange，提问作者Mowso