NestJS集成Keycloak认证报错：无法加载公钥验证令牌

错误核心原因 #

错误connect ECONNREFUSED ::1:8080表明你的NestJS应用无法通过IPv6地址::1连接到Keycloak服务，导致无法获取公钥验证token。以下是具体排查方向和解决方法：

1. 强制使用IPv4访问Keycloak #

Keycloak默认可能仅监听IPv4的127.0.0.1，而应用解析localhost时优先使用IPv6的::1，导致连接失败。

• 修改keycloak.json中的auth-server-url为：

  "auth-server-url": "http://127.0.0.1:8080/"
  

• 重启NestJS应用后测试。

2. 容器环境下的网络配置修正 #

如果NestJS或Keycloak运行在Docker容器中，localhost指向容器自身而非宿主机服务：

• 若Keycloak在宿主机运行：将auth-server-url改为宿主机的IPv4地址（如http://192.168.1.100:8080/），或使用Docker宿主机专属地址http://host.docker.internal:8080/（仅Docker Desktop适用）。
• 若两者都在容器中：使用Docker网络的服务名替代localhost，比如Keycloak容器名为keycloak，则配置为http://keycloak:8080/。

3. 确认Keycloak服务状态 #

• 在终端执行curl http://localhost:8080/realms/my-realm/protocol/openid-connect/certs，若无法访问：
  • 检查Keycloak是否正常启动，查看启动日志排除初始化错误。
  • 确认8080端口未被其他程序占用（使用netstat -ano | findstr :8080或lsof -i :8080检查）。

4. 调整Token验证模式 #

你当前使用TokenValidation.ONLINE模式，该模式需要实时请求Keycloak获取公钥。若网络临时不通，可临时切换为离线模式测试：

KeycloakConnectModule.register('./dist/keycloak.json', {
  policyEnforcement: PolicyEnforcementMode.PERMISSIVE,
  tokenValidation: TokenValidation.OFFLINE, // 改为离线模式
}),

注意：生产环境建议保持ONLINE模式，优先解决网络连接问题。

5. 验证配置文件路径 #

确认KeycloakConnectModule.register中指定的./dist/keycloak.json路径正确：

• 检查dist目录下是否存在该文件，若路径错误，可改用绝对路径或把配置文件放在src目录下确保编译后同步到dist。

6. 版本兼容性排查 #

Keycloak 19.0.1与nest-keycloak-connect 1.9.0可能存在版本适配问题：

• 尝试降级Keycloak至18.x版本，或升级nest-keycloak-connect到最新稳定版（当前为2.x系列），重新测试集成。

内容的提问来源于stack exchange，提问作者Knerdist