配置Spring Boot与带SSL的Keycloak集成遇问题求助

核心原因 #

Spring Boot的JVM默认不信任Keycloak的SSL证书（尤其是自签名证书），而Postman会手动让你确认信任，所以能正常获取令牌，但Spring Boot连接时会抛出SSL验证错误。

解决步骤 #

1. 导出Keycloak的SSL证书 #

• 方法一：用keytool命令从Keycloak的SSL端口导出证书：

  keytool -printcert -rfc -sslserver localhost:8443 > keycloak.crt
  

• 方法二：用浏览器访问https://localhost:8443，点击地址栏的锁图标，下载证书文件（保存为keycloak.crt）

2. 将证书导入JVM信任库 #

找到你Spring Boot项目使用的JVM的cacerts信任库路径（不同JDK版本路径略有差异）：

• OpenJDK：$JAVA_HOME/lib/security/cacerts
• Oracle JDK：$JAVA_HOME/jre/lib/security/cacerts

执行导入命令（默认信任库密码为changeit）：

keytool -importcert -file keycloak.crt -alias keycloak -keystore $JAVA_HOME/lib/security/cacerts

按提示输入yes确认信任该证书。

3. 修正Spring Boot的Keycloak配置 #

确保application.yml（或application.properties）中的Keycloak配置指向SSL端口，并且SSL相关参数正确：

keycloak:
  auth-server-url: https://localhost:8443/auth
  realm: 你的Realm名称
  resource: 你的客户端ID
  credentials:
    secret: 你的客户端密钥
  ssl-required: external  # 表示外部请求使用SSL，适配Keycloak的SSL端口

4. 可选：使用自定义信任库（不修改全局JVM信任库） #

如果不想修改全局JVM的信任库，可以创建自定义信任库并在启动时指定：

1. 生成自定义信任库：

   keytool -importcert -file keycloak.crt -alias keycloak -keystore truststore.jks
   

   设置自定义信任库的密码（比如truststore123）

2. 启动Spring Boot时添加VM参数：

   -Djavax.net.ssl.trustStore=/path/to/truststore.jks
   -Djavax.net.ssl.trustStorePassword=truststore123
   

5. 验证Keycloak的SSL配置 #

检查Keycloak的配置文件（standalone.xml或standalone-ha.xml），确保HTTPS监听器和证书配置正确：

<server name="default-server">
  <https-listener name="https" socket-binding="https" security-realm="UndertowRealm"/>
</server>
<security-realm name="UndertowRealm">
  <server-identities>
    <ssl>
      <keystore path="keycloak.jks" relative-to="jboss.server.config.dir" keystore-password="你的证书密码"/>
    </ssl>
  </server-identities>
</security-realm>

额外说明 #

Postman能正常获取令牌是因为它会主动提示你信任自签名证书，确认后会将该证书加入Postman的本地信任列表；而Spring Boot运行在JVM上，JVM默认仅信任CA机构颁发的证书，所以必须手动将Keycloak的证书导入信任库才能建立SSL连接。

内容的提问来源于stack exchange，提问作者user1734180