本地Kubernetes集群Keycloak端口转发后Spring Security OAuth集成令牌颁发者不匹配问题解决请求

这个问题的核心原因很明确：Keycloak在Kubernetes集群内部运行时，会默认使用集群内的IP或服务地址生成令牌中的issuer字段，但你的Spring应用配置里的auth-server-url是http://localhost:8080/auth，两者不匹配，导致Spring的令牌校验逻辑直接抛出错误。

下面给你几个适合本地开发的解决方案：

方案1：修改Keycloak配置，强制使用localhost作为Issuer #

这是最直接的方案，让Keycloak生成的令牌Issuer和Spring配置完全对齐。

针对Keycloak 17+（Quarkus版本） #

如果你的Keycloak是新版本（基于Quarkus重构的版本），需要在K8s的Deployment中添加环境变量：

env:
  - name: KC_HOSTNAME
    value: "localhost"
  - name: KC_HOSTNAME_PORT
    value: "8080"

或者在Keycloak的启动命令中追加参数：

kc.sh start-dev --hostname=localhost --hostname-port=8080

重启Keycloak后，它生成的令牌里的iss字段就会变成http://localhost:8080/auth/realms/master，和你的Spring配置完全匹配，本地port-forward后就能正常完成授权校验。

针对Keycloak 16及以下（WildFly版本） #

旧版本的Keycloak需要设置KEYCLOAK_FRONTEND_URL环境变量来指定前端访问地址：

env:
  - name: KEYCLOAK_FRONTEND_URL
    value: "http://localhost:8080/auth"

同样重启Keycloak后，令牌的Issuer就会更新为你指定的localhost地址。

方案2：修改Spring配置，适配集群内的Issuer #

如果不想改动Keycloak的集群配置，可以调整Spring的配置来兼容集群内的Issuer地址：

方法A：直接替换auth-server-url为集群内地址 #

把Spring配置里的auth-server-url改成错误提示里的集群内地址：

keycloak:
  realm: master
  auth-server-url: http://10.104.81.255:8080/auth
  ssl-required: external
  resource: my-resource
  use-resource-role-mappings: true
  public-client: true

同时保持kubectl port-forward svc/keycloak 8080:8080的端口转发操作，Spring会通过端口转发访问Keycloak获取校验所需的公钥，同时接受令牌里的集群Issuer地址。

方法B：自定义JwtDecoder，支持多Issuer场景 #

如果需要同时兼容本地开发和集群部署的场景，可以自定义JwtDecoder来允许多个合法的Issuer：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.security.oauth2.jwt.NimbusJwtDecoder;

@Configuration
public class KeycloakCustomConfig {

    @Bean
    public JwtDecoder jwtDecoder() {
        // 定义本地和集群两个合法的Issuer地址
        String localIssuer = "http://localhost:8080/auth/realms/master";
        String clusterIssuer = "http://10.104.81.255:8080/auth/realms/master";
        
        // 基于本地地址构建Jwk获取通道
        NimbusJwtDecoder decoder = NimbusJwtDecoder.withJwkSetUri(localIssuer + "/protocol/openid-connect/certs").build();
        
        // 自定义Issuer校验逻辑，允许两个地址
        decoder.setIssuerValidator(issuer -> {
            if (issuer.equals(localIssuer) || issuer.equals(clusterIssuer)) {
                return issuer;
            }
            throw new IllegalArgumentException("Invalid token issuer");
        });
        return decoder;
    }
}

这样不管是本地还是集群生成的令牌，都能通过Spring的校验。

方案3：本地DNS映射（可选） #

你也可以在本地hosts文件里把集群内的Keycloak IP映射到localhost，但这个方案需要每次Keycloak Pod IP变化时手动更新hosts，灵活性较差，只适合Keycloak有固定ClusterIP的场景。

内容的提问来源于stack exchange，提问作者Prebiusta