Laravel集成Keycloak Guard后遇Unauthenticated问题解决

针对你遇到的"Unauthenticated."错误，按以下步骤排查解决：

• 验证请求头格式
  确保请求的Authorization头严格遵循 Bearer <access-token> 格式，不要遗漏Bearer前缀。可以通过curl命令测试：

  curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" http://your-domain/api/test
  

• 检查Keycloak公钥完整性
  确认.env中的KEYCLOAK_REALM_PUBLIC_KEY是从Keycloak控制台（Realm Settings -> Keys -> Public Keys）复制的完整公钥，包含-----BEGIN PUBLIC KEY-----和-----END PUBLIC KEY-----头尾（若你的公钥缺失这部分，需补充完整）。

• 验证用户数据库匹配逻辑
  由于你开启了KEYCLOAK_LOAD_USER_FROM_DATABASE=true：

  1. 确认Keycloak令牌中的preferred_username字段值，与数据库用户表的username字段完全匹配；
  2. 数据库中必须存在对应用户，否则会因找不到用户触发认证失败。可临时将KEYCLOAK_LOAD_USER_FROM_DATABASE设为false测试，排除用户不存在的问题。

• 调整资源验证配置
  当前KEYCLOAK_ALLOWED_RESOURCES=account且关闭了资源验证忽略，需确认：

  • 你的Keycloak客户端ID是否为account，若不是，将KEYCLOAK_ALLOWED_RESOURCES改为你的实际客户端ID；
  • 或者临时设置KEYCLOAK_IGNORE_RESOURCES_VALIDATION=true跳过资源验证，测试是否能正常认证。

• 确保配置生效
  执行以下命令清除配置缓存，避免旧配置影响：

  php artisan config:clear
  

• 查看日志定位具体错误
  打开storage/logs/laravel.log，查找认证相关的错误日志，日志会明确指出失败原因（如令牌过期、签名无效、用户不存在等）。

• 验证令牌有效性
  使用JWT解码工具解析access token，检查：

  • exp字段是否过期；
  • iss字段是否与你的Keycloak服务器地址一致；
  • 用你的公钥验证签名是否有效。

内容的提问来源于stack exchange，提问作者Abdallah Alsamman