为何permitAll在Keycloak与OAuth2云网关中失效？请求被重定向至登录页

问题原因 #

你的资源服务已设置所有请求permitAll，直接访问正常，但通过网关访问时触发Keycloak登录重定向——核心原因是网关自身配置了OAuth2客户端，会对所有进入的请求做认证拦截，请求还没转发到资源服务，就被网关的安全机制拦下，要求用户完成OAuth2授权流程。

解决方案 #

方案1：让网关对目标路径放行（推荐，匹配你的资源服务配置） #

在网关中添加Spring Security配置，允许/messages/**路径匿名访问，无需经过OAuth2认证：

@Configuration
@EnableWebSecurity
public class GatewaySecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(auth -> auth
                .requestMatchers("/messages/**").permitAll()
                .anyRequest().authenticated()
            )
            .oauth2Login(withDefaults());
        return http.build();
    }
}

方案2：修正TokenRelay过滤器的配置语法 #

你的网关YAML配置中过滤器写法存在语法错误，正确的TokenRelay过滤器应为列表项形式，同时uri要指向资源服务根地址而非具体路径：

server:
  port: 8083

spring:
  application.name: backend-gateway-client
  cloud:
    gateway:
      routes:
        - id: resources
          uri: http://localhost:8082
          predicates:
            - Path=/messages/**
          filters:
            - TokenRelay=
  security:
    oauth2:
      client:
        registration:
          gateway:
            provider: my-provider
            client-id: quiz-client
            client-secret: 348b07b5-3cee-43cb-898c-33cde9dd38b4
            authorization-grant-type: authorization_code
            redirect-uri: "http://localhost:8083/login/oauth2/code/{registrationId}"
            scope: openid, message.read
        provider:
          my-provider:
            issuer-uri: http://localhost:8080/auth/realms/quiz-realm

方案3：移除网关的OAuth2客户端配置（如果网关不需要处理认证） #

如果你的场景不需要网关作为OAuth2客户端处理认证，仅需转发请求到资源服务，可直接删除网关配置中的spring.security.oauth2.client相关内容，网关就不会拦截请求要求认证。

验证步骤 #

1. 重启网关服务
2. 访问http://localhost:8083/messages，确认不再跳转到Keycloak登录页，直接返回资源服务响应

内容的提问来源于stack exchange，提问作者Олександр Житарюк