Spring Boot资源服务器集成Keycloak时JWT配置解析异常

问题核心信息 #

• 环境：Spring Boot 2.7.3 + Java 11，Keycloak运行在8083端口，对应realm为realm_1
• 配置：application.properties中设置spring.security.oauth2.resourceserver.jwt.issuer-uri=http://localhost:8083/realms/realm_1/.well-known/openid-configuration
• 现象：Keycloak的openid-configuration地址可正常访问，密码模式获取access_token正常，但请求Spring Boot的/permitAll接口返回401，日志抛出JwtDecoderInitializationException，根因为无法解析配置的Issuer地址

解决方案 #

1. 修正Issuer URI配置格式 #

Spring Security的issuer-uri参数要求配置realm的根地址，而非完整的openid-configuration端点路径。框架会自动拼接.well-known/openid-configuration去获取OIDC配置，手动添加全路径会导致解析失败。

正确配置：

spring.security.oauth2.resourceserver.jwt.issuer-uri=http://localhost:8083/realms/realm_1

2. 验证Token与配置的Issuer一致性 #

解析通过密码模式获取的access_token，检查iss字段值必须和配置的issuer-uri完全一致（包括协议、主机、端口、路径）。如果Keycloak realm配置中Issuer设置了其他值（例如省略端口或使用域名），需同步修改Spring Boot的配置项。

3. 排查容器场景的网络连通性 #

如果Keycloak和Spring Boot分别运行在容器中，localhost对Spring Boot容器而言指向自身而非宿主机，需替换为宿主机IP或容器服务名：

• 宿主机访问（Docker环境）：

spring.security.oauth2.resourceserver.jwt.issuer-uri=http://host.docker.internal:8083/realms/realm_1

• Docker Compose场景（Keycloak服务名为keycloak）：

spring.security.oauth2.resourceserver.jwt.issuer-uri=http://keycloak:8083/realms/realm_1

4. 手动配置JwtDecoder强制刷新 #

若修改配置后问题依旧，可手动声明JwtDecoder Bean，绕过自动初始化的缓存问题：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.security.oauth2.jwt.NimbusJwtDecoder;

@Configuration
public class SecurityConfig {

    @Bean
    public JwtDecoder jwtDecoder() {
        return NimbusJwtDecoder.withIssuerLocation("http://localhost:8083/realms/realm_1").build();
    }
}

验证步骤 #

修改配置后重启Spring Boot，请求/permitAll接口应返回200；携带正确access_token请求需权限的接口，应正常完成授权。

内容的提问来源于stack exchange，提问作者Денис Савенко