Keycloak认证与微服务授权：如何避免服务重复验证JWT？

• 查看Spring Security日志
  把下游服务的日志级别调整为DEBUG，重点关注org.springframework.security.oauth2包的日志输出。如果没有出现调用Keycloak JWKS端点（如/auth/realms/{realm}/protocol/openid-connect/certs）或Token自省端点（/auth/realms/{realm}/protocol/openid-connect/token/introspect）的请求记录，说明服务是本地验证JWT签名，没有重复连接Keycloak。

• 检查服务端配置
  确认下游服务的OAuth2资源服务器配置：

  • 如果使用JWKS模式（配置了spring.security.oauth2.resourceserver.jwt.jwk-set-uri），Spring Security会首次拉取公钥并缓存，后续验证均在本地完成，不会重复请求Keycloak；
  • 如果直接配置了本地公钥（spring.security.oauth2.resourceserver.jwt.public-key-location），则完全在本地完成JWT解析与验证，不会产生Keycloak请求。
    若未配置Token自省相关参数，服务不会调用Keycloak的自省端点，自然不会重复验证。

• 查看Keycloak访问日志
  打开Keycloak安装目录下standalone/logs/access_log.log文件，检查是否有下游服务发起的JWKS或自省端点请求。如果没有相关请求记录，即可确认服务未重复连接Keycloak验证Token。

Keycloak默认不会记录所有Token验证事件，需要先开启对应事件的日志记录：

1. 登录Keycloak管理控制台，进入目标Realm；
2. 点击左侧菜单的【Events】，切换到【Settings】标签页；
3. 在【Event Types】列表中勾选Token Introspection（Token自省）等相关事件类型，保存设置。

注意：如果下游服务是本地验证JWT签名（如你的场景），Keycloak不会收到验证请求，因此不会生成Token验证事件。只有当服务调用Keycloak的自省端点或其他需要Keycloak参与的验证流程时，才会在【Events】页面看到对应记录。

内容的提问来源于stack exchange，提问作者Kuppusamy