嵌入式Keycloak(Spring Boot Java)证书问题：无法解析颁发者配置

核心原因 #

你遇到的PKIX路径构建失败，本质是Spring Boot资源服务器的JVM不信任嵌入式Keycloak使用的新自签名证书。虽然你已经将证书部署到服务的keystore用于SSL通信，但JVM默认信任库（cacerts）中没有这份新证书，导致资源服务器验证Keycloak签发的JWT或调用其OpenID端点时，无法完成证书链校验。

修复步骤 #

1. 将新证书导入JVM默认信任库 #

找到你当前使用的JDK的cacerts文件（通常路径为JDK_HOME/jre/lib/security/cacerts），执行以下keytool命令导入证书：

keytool -importcert -alias localhost_dmt_trust -file C:\DMT\sources\code\multi\localhost.crt -keystore "你的JDK路径/jre/lib/security/cacerts"

• 默认信任库密码为changeit，若你修改过请替换为对应密码
• alias可自定义，只要保证在信任库中唯一即可

2. 确认资源服务器配置正确性 #

确保资源服务器的OAuth2配置中，Keycloak的发行者URI使用HTTPS协议：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: https://localhost:8083/realms/你的领域名称

该URI必须指向你嵌入式Keycloak的真实领域地址，且资源服务器能通过HTTPS正常访问。

3. 可选：为资源服务器指定自定义信任库 #

若不想修改JVM默认信任库，可在资源服务器的启动参数中指定你已生成的dmt-keystore.p12作为信任库：

-Djavax.net.ssl.trustStore=C:\DMT\sources\code\multi\dmt-keystore.p12
-Djavax.net.ssl.trustStorePassword=passwordkeystore
-Djavax.net.ssl.trustStoreType=PKCS12

由于你的keystore中已包含新生成的localhost证书，资源服务器会直接信任Keycloak的SSL连接。

4. 验证Keycloak证书发布端点 #

访问Keycloak的公钥发布端点：https://localhost:8083/realms/你的领域名称/protocol/openid-connect/certs，确认返回的证书信息与你新生成的localhost.crt一致，且浏览器无SSL证书错误。

验证操作 #

1. 重启嵌入式Keycloak和Spring Boot资源服务器
2. 发送请求到资源服务器的受保护接口，检查是否仍出现PKIX路径错误
3. 若使用Angular前端，确认前端请求资源服务器时的SSL连接正常

内容的提问来源于stack exchange，提问作者Jeffa