SpringBoot3.2+Keycloak在K8s生产环境的安全配置问题咨询

针对你遇到的前后端Keycloak URL协议不一致导致的JWT验证证书问题，以下是Kubernetes环境中的安全最佳实践解决方案：

方案1：集群内部Service访问（优先推荐，同集群部署场景） #

如果Keycloak和微服务部署在同一个Kubernetes集群内，直接利用K8s内部DNS和Service实现后端HTTP访问，同时保证JWT签名一致性：

• 后端配置KEYCLOAK_URL为Keycloak ClusterIP Service的内部地址，例如：http://keycloak-service.default.svc.cluster.local/auth/realms/myrealm
• 前端继续使用外部HTTPS地址：https://domain-name/auth/realms/myrealm
• 关键配置：在Keycloak控制台的Realm设置中，通过Hostname配置固定issuer返回地址为前端使用的HTTPS URL（比如设置hostname-url=https://domain-name/auth），这样后端从内部地址获取的JWK集对应的iss字段和前端JWT中的iss完全一致，不会影响签名验证。

这种方式无需后端安装任何证书，后端走集群内部安全的HTTP通信，同时保证JWT验证的一致性。

方案2：自动注入可信CA证书（跨集群/外部Keycloak场景） #

如果Keycloak不在当前K8s集群内，必须通过HTTPS访问，可通过K8s证书管理机制将Keycloak的CA证书注入到微服务的信任存储：

1. 将Keycloak的CA证书创建为K8s Secret：

kubectl create secret generic keycloak-ca --from-file=ca.crt=./keycloak-root-ca.pem

2. 在微服务Deployment中挂载该Secret到容器内：

spec:
  containers:
  - name: your-service
    volumeMounts:
    - name: keycloak-ca
      mountPath: /etc/ssl/certs/keycloak-ca.crt
      subPath: ca.crt
  volumes:
  - name: keycloak-ca
    secret:
      secretName: keycloak-ca

3. 通过JVM参数将证书加入信任存储（或在Dockerfile中预先导入到JDK默认信任库）：

java -Djavax.net.ssl.trustStore=/etc/ssl/certs/java/cacerts \
     -Djavax.net.ssl.trustStorePassword=changeit \
     -cp your-app.jar com.your.package.Application

方案3：临时忽略SSL验证（仅调试用，禁止生产） #

如果只是临时调试需要，可配置Spring Security使用自定义RestTemplate跳过证书验证，但生产环境绝对不能使用：

@Bean
public JwtDecoder jwtDecoder(OAuth2ResourceServerProperties properties) throws Exception {
    // 构建忽略证书的RestTemplate
    TrustStrategy trustAllStrategy = (chain, authType) -> true;
    SSLContext sslContext = SSLContexts.custom()
            .loadTrustMaterial(null, trustAllStrategy)
            .build();
    SSLConnectionSocketFactory socketFactory = new SSLConnectionSocketFactory(sslContext);
    CloseableHttpClient httpClient = HttpClients.custom()
            .setSSLSocketFactory(socketFactory)
            .build();
    HttpComponentsClientHttpRequestFactory requestFactory = new HttpComponentsClientHttpRequestFactory(httpClient);
    
    // 配置JwtDecoder使用该RestTemplate
    return NimbusJwtDecoder.withJwkSetUri(properties.getJwt().getJwkSetUri())
            .restOperations(new RestTemplate(requestFactory))
            .build();
}

核心注意事项 #

• 所有方案的核心是保证JWT的iss字段前后端完全一致，否则Spring Security会直接拒绝验证。通过Keycloak的Hostname配置可以轻松实现这一点，无论后端用HTTP还是HTTPS访问Keycloak。
• 生产环境优先选择方案1或方案2，严格避免方案3的不安全操作。

内容的提问来源于stack exchange，提问作者YosriN