JHipster集成Keycloak时Issuer配置不匹配问题求助

核心原因 #

这个错误是因为应用程序从Keycloak获取的OpenID Connect(OIDC)元数据里的Issuer地址是http://localhost:9080/auth/realms/jhipster，但Docker容器内部调用Keycloak时用的是服务名keycloak，导致Issuer校验不通过。

什么是配置元数据？ #

OIDC配置元数据是Keycloak自动生成的JSON文件，包含认证相关的所有端点、密钥、Issuer等信息，路径是http://<keycloak地址>/auth/realms/jhipster/.well-known/openid-configuration。你的应用启动时会请求这个文件，然后用里面的Issuer和实际请求的Issuer做校验。

具体修改步骤 #

1. 调整Keycloak的Docker配置 #

在docker-compose.yml的Keycloak服务中添加环境变量，指定内部和外部的访问地址：

keycloak:
    image: jboss/keycloak:15.0.2
    environment:
        - KEYCLOAK_USER=admin
        - KEYCLOAK_PASSWORD=admin
        - KEYCLOAK_FRONTEND_URL=http://localhost:9080/auth/
        - KEYCLOAK_HOSTNAME=keycloak
    ports:
        - 9080:8080

• KEYCLOAK_HOSTNAME：让Keycloak生成的元数据中Issuer使用容器服务名keycloak，适配容器内部调用。
• KEYCLOAK_FRONTEND_URL：保证外部浏览器访问Keycloak控制台时使用localhost地址。

2. 修改JHipster应用的认证配置 #

找到应用的application.yml或application-dev.yml（Docker环境下通常是挂载的配置文件），将OIDC的Issuer地址改为容器内的服务地址：

spring:
  security:
    oauth2:
      client:
        provider:
          keycloak:
            issuer-uri: http://keycloak:9080/auth/realms/jhipster

3. 重启服务生效 #

• 清理旧容器与缓存：docker-compose down
• 重新启动所有服务：docker-compose up -d

验证方式 #

服务启动后，可在容器内执行curl http://keycloak:9080/auth/realms/jhipster/.well-known/openid-configuration，查看返回的JSON中issuer字段是否为http://keycloak:9080/auth/realms/jhipster，确认配置生效。

内容的提问来源于stack exchange，提问作者Harper2021