Keycloak多租户用凭证授权时出现403 Forbidden问题求助

问题描述 #

按照Keycloak多租户文档配置，在keycloak.json中包含凭证后，自定义KeycloakConfigResolver出现令牌验证异常：

• resolve函数被多次调用，首次令牌验证通过，后续每次调用均提示Failed to verify token
• 最终返回403 Forbidden错误
• 使用默认KeycloakSpringBootConfigResolver时认证流程正常

自定义KeycloakConfigResolver代码：

@Configuration
public class HeaderBasedConfigResolver implements KeycloakConfigResolver {

  @Override
  public KeycloakDeployment resolve(Request request) {
    System.out.println("Start Header-based resolving");
    String realm = request.getHeader("realm");
    File file = new File("realm_json/" + realm + "-keycloak.json");
    InputStream is = null;
    try {
      is = new FileInputStream(file);
    } catch (FileNotFoundException e) {
      throw new RuntimeException(e);
    }
    return KeycloakDeploymentBuilder.build(is);
  }

}

Bean初始化代码：

@Bean
@ConditionalOnMissingBean(HeaderBasedConfigResolver.class)
public KeycloakConfigResolver keycloakConfigResolver() {
    return new HeaderBasedConfigResolver();
}

问题分析 #

核心问题是每次请求都重新构建KeycloakDeployment实例：

• KeycloakDeployment包含令牌验证所需的密钥缓存、客户端元数据等状态信息
• 重复构建会丢失这些缓存状态，导致后续验证时无法匹配令牌签名，或需要重复获取密钥引发异常
• 频繁读取本地文件也会导致IO性能损耗，加重系统负担

解决方案 #

通过缓存KeycloakDeployment实例，避免重复加载配置，同时优化资源处理逻辑：

修改后的HeaderBasedConfigResolver #

@Configuration
public class HeaderBasedConfigResolver implements KeycloakConfigResolver {

    // 线程安全的缓存，存储不同realm对应的部署配置
    private final Map<String, KeycloakDeployment> deploymentCache = new ConcurrentHashMap<>();

    @Override
    public KeycloakDeployment resolve(Request request) {
        String realm = request.getHeader("realm");
        if (realm == null || realm.isBlank()) {
            throw new IllegalArgumentException("Missing required 'realm' header");
        }

        // 仅当缓存中不存在时才加载配置，线程安全
        return deploymentCache.computeIfAbsent(realm, this::loadDeploymentConfig);
    }

    private KeycloakDeployment loadDeploymentConfig(String realm) {
        System.out.println("Loading Keycloak config for realm: " + realm);
        File configFile = new File("realm_json/" + realm + "-keycloak.json");
        
        // 使用try-with-resources自动关闭输入流，避免资源泄漏
        try (InputStream inputStream = new FileInputStream(configFile)) {
            return KeycloakDeploymentBuilder.build(inputStream);
        } catch (IOException e) {
            throw new RuntimeException("Failed to load config for realm: " + realm, e);
        }
    }
}

关键优化点 #

1. 缓存机制：使用ConcurrentHashMap缓存KeycloakDeployment，每个realm仅加载一次配置
2. 线程安全：computeIfAbsent方法确保多线程环境下不会重复加载同一个realm的配置
3. 资源管理：用try-with-resources自动关闭输入流，避免IO资源泄漏
4. 异常处理：明确处理realm为空的情况，提供更清晰的错误信息

额外注意事项 #

• 确保realm_json目录存在且应用有读取权限
• 如果realm配置需要动态更新，可以添加缓存失效逻辑（比如定时刷新或监听文件变化）
• 验证keycloak.json中的凭证（credentials字段）配置正确，与Keycloak后台客户端配置一致

内容的提问来源于stack exchange，提问作者KelvinLYY