Spring OAuth2资源服务器对接Keycloak时如何指定正确Client ID？

你遇到的报错本质是UMA流程要求资源服务器必须以自身的资源服务器客户端身份（spec）向Keycloak请求权限票据，但现在你的Spring资源服务器发起请求时用了前端应用的base客户端身份，Keycloak自然会判定base不是资源服务器，抛出错误。之前的旧Keycloak适配器通过keycloak.resource = spec直接绑定了资源服务器的客户端ID，但Spring OAuth2的配置逻辑不一样，得重新适配。

1. 修正Spring资源服务器的OAuth2配置 #

明确指定资源服务器要用的客户端ID（spec），以及对应的凭证，确保请求权限票据时用的是正确身份。

application.yml配置示例 #

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://你的keycloak地址/realms/你的领域名
        uma:
          client-id: spec
          client-secret: ${SPEC_CLIENT_SECRET} # 换成spec客户端的密钥
          issuer-uri: http://你的keycloak地址/realms/你的领域名

核心配置点 #

• uma.client-id：必须设为spec，这是UMA里资源服务器的身份标识
• client-secret：要在Keycloak里给spec客户端生成并配置对应的密钥（如果是保密类型客户端）

2. 调整Keycloak里spec客户端的设置 #

确保spec被正确配置为资源服务器：

• 登录Keycloak控制台，打开spec客户端的设置页
• Settings标签：把Access Type改成confidential（资源服务器需要用客户端凭证做认证）
• Authorization标签：开启Authorization Enabled（UMA依赖这个功能）
• 检查Valid Redirect URIs和Web Origins，按需配置（资源服务器本身可能不需要跳转，但别留空导致错误）

3. 验证前端令牌 #

确保Angular的base客户端拿到的令牌包含正确的权限范围，同时资源服务器能正确提取请求里的令牌，再用spec身份向Keycloak申请权限票据。

• 别搞混前端客户端（base）和资源服务器客户端（spec）：前端管用户登录拿令牌，资源服务器用自己的身份去Keycloak校验权限
• 如果spec是公共类型客户端，得调整Spring配置里的客户端认证方式（比如不用client-secret）

内容的提问来源于stack exchange，提问作者Cpt Koko