SpringBoot+Keycloak无认证端点返回空响应体问题求助

核心问题根源 #

你的配置存在两处关键冲突：

1. 全局keycloak.securityConstraints要求所有路径(/*)必须携带认证令牌，直接覆盖了Spring Security的permitAll规则；
2. 匿名路径配置了不必要的ClaimInformationPointConfig，即使enforcement-mode=disabled，Keycloak的策略执行器仍会尝试处理该路径的CIP逻辑，导致请求被拦截但未转发到控制器，最终返回空响应体的200状态。

步骤1：修正application.properties配置 #

移除全局强制认证约束，简化匿名路径的Keycloak配置：

# 移除全局securityConstraints（这是导致匿名路径被拦截的核心原因）
# keycloak.securityConstraints[0].authRoles[0]=*
# keycloak.securityConstraints[0].securityCollections[0].patterns[0]=/*

keycloak.policy-enforcer-config.enforcement-mode=permissive
keycloak.policy-enforcer-config.lazy-load-paths=true

# 保留项目路径的自定义权限配置
keycloak.policy-enforcer-config.paths[0].name=project
keycloak.policy-enforcer-config.paths[0].path=/projects/{projectId}
keycloak.policy-enforcer-config.paths[0].claimInformationPointConfig.project[claim-value]=claim
keycloak.policy-enforcer-config.paths[0].enforcement-mode=permissive

# 简化匿名路径配置：仅保留路径和禁用强制模式，移除多余的CIP配置
keycloak.policy-enforcer-config.paths[1].name=unauth
keycloak.policy-enforcer-config.paths[1].path=/unauth/{id}
keycloak.policy-enforcer-config.paths[1].enforcement-mode=disabled

步骤2：调整SecurityFilterChain配置 #

必须整合Keycloak的Spring Boot配置器，确保Spring Security与Keycloak过滤器链协同工作：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            // 匿名路径直接放行
            .antMatchers("/unauth/**").permitAll()
            // 其余路径需认证
            .anyRequest().authenticated()
        .and()
        .csrf().disable()
        // 应用Keycloak的Spring Boot配置，确保Keycloak过滤器正确加载
        .apply(keycloakSpringBootConfigurer());
    
    return http.build();
}

@Bean
public KeycloakSpringBootConfigurer keycloakSpringBootConfigurer() {
    return new KeycloakSpringBootConfigurer();
}

验证逻辑 #

1. 匿名访问测试：不带Bearer Token访问/unauth/{id}，应直接命中端点并返回正常响应体；
2. 认证路径测试：不带Token访问/projects/{projectId}，会按照permissive模式触发Keycloak权限检查；
3. 带Token访问：所有路径均能正常处理权限校验并返回响应。

内容的提问来源于stack exchange，提问作者nastech