Spring Security OAuth资源服务器Docker环境下Keycloak连接配置问题

我用Docker部署了包含以下组件的应用：

• 终止SSL的nginx容器
• Keycloak容器
• Spring Boot OAuth资源服务器

我的Spring Boot配置如下：

security:
  oauth2:
    resourceserver:
      jwt:
        issuer-uri: https://example.com/realms/petclinic

这个配置在正常SSL证书环境下能运行，但用自签名SSL证书部署时，Spring Boot容器无法通过HTTPS连接Keycloak，且我无法控制用户使用的证书。如果把issuer-uri改成HTTP地址（比如http://keycloak/realms/petclinic），终端用户的令牌会因为Keycloak生成的令牌中iss声明仍为https://example.com/realms/petclinic而验证失败。

我想知道有没有办法让Spring Boot OAuth资源服务器始终通过Docker本地地址http://keycloak连接Keycloak，同时保证令牌验证正常？看起来issuer-uri和资源服务器的自动配置耦合在一起，这和Keycloak Java适配器的情况不一样。

你可以通过分离令牌验证的issuer声明与JWKS密钥获取地址来解决这个问题，同时配置Keycloak确保生成的令牌使用外部HTTPS的issuer地址，允许内部通过HTTP访问元数据端点。

1. 调整Spring Boot资源服务器配置 #

放弃使用issuer-uri的自动配置，手动指定issuer（匹配令牌中的iss声明）和jwk-set-uri（指向Docker内部的Keycloak HTTP地址）：

security:
  oauth2:
    resourceserver:
      jwt:
        # 匹配令牌中的iss声明，必须和Keycloak对外暴露的地址一致
        issuer: https://example.com/realms/petclinic
        # 直接指向Docker内部Keycloak的JWKS密钥端点，用HTTP访问
        jwk-set-uri: http://keycloak/realms/petclinic/protocol/openid-connect/certs

这样配置后，Spring Boot会：

• 验证令牌时检查iss声明是否等于https://example.com/realms/petclinic，和用户拿到的令牌一致
• 从http://keycloak获取JWKS公钥，避开自签名SSL证书的问题

2. 配置Keycloak确保生成正确的issuer声明 #

在Docker启动Keycloak时，通过环境变量配置外部访问地址，让Keycloak生成的令牌使用HTTPS的issuer：

docker run -d \
  --name keycloak \
  -e KC_HOSTNAME=example.com \
  -e KC_HOSTNAME_PORT=443 \
  -e KC_HOSTNAME_PROTOCOL=https \
  -e KC_PROXY=edge \
  -e KEYCLOAK_ADMIN=admin \
  -e KEYCLOAK_ADMIN_PASSWORD=admin \
  quay.io/keycloak/keycloak:latest start

关键参数说明：

• KC_HOSTNAME：Keycloak对外暴露的域名（即example.com）
• KC_HOSTNAME_PROTOCOL：对外使用的协议（https）
• KC_PROXY=edge：告诉Keycloak它运行在反向代理（nginx）之后，会信任反向代理传递的请求头，同时生成的URL会使用配置的外部地址

这样Keycloak生成的令牌中iss声明会是https://example.com/realms/petclinic，和Spring Boot配置的issuer一致，同时内部可以通过http://keycloak访问其API和JWKS端点。

3. 验证配置 #

1. 启动所有容器后，检查Keycloak的开放ID配置：访问http://keycloak/realms/petclinic/.well-known/openid-configuration，确认issuer字段是https://example.com/realms/petclinic
2. 让用户获取令牌，解码后检查iss声明是否与上述一致
3. 测试Spring Boot资源服务器的接口，确认可以正常验证令牌并处理请求

内容的提问来源于stack exchange，提问作者Heuriskos