Docker容器间调用Keycloak获取user_info出现USER_INFO_REQUEST_ERROR

从你的描述和日志细节来看，核心问题并不是CORS（成功日志里的CORS提示只是因为宿主机请求没有携带Origin头，和失败原因无关），而是JWT Token的发行者（Issuer）验证不匹配导致的invalid_token错误。

问题根源拆解 #

1. 当你从宿主机获取Token时，Keycloak返回的Token中iss字段是http://localhost:8080/auth/realms/main——因为你是通过宿主机的localhost:8080地址访问Keycloak的。
2. 当API容器使用http://keycloak:8080/auth/...调用userinfo接口时，Keycloak会检查Token的iss值是否和自己当前的服务地址匹配。但容器内部的Keycloak地址是keycloak:8080，和Token里的localhost:8080不一致，因此Keycloak判定Token无效，返回了USER_INFO_REQUEST_ERROR错误。

具体解决方案 #

方案1：统一Keycloak的内外访问地址（推荐） #

修改Docker Compose中Keycloak的环境变量，指定其对外发布的地址，确保生成的Token issuer同时兼容宿主机和容器内部访问：

keycloak:
  build:
    context: ../at_keycloak
    dockerfile: Dockerfile
  environment:
    # 保留原有配置
    DB_VENDOR: POSTGRES
    DB_ADDR: db
    DB_DATABASE: keycloak
    DB_USER: postgres
    DB_SCHEMA: public
    DB_PASSWORD: ****
    KEYCLOAK_USER: admin
    KEYCLOAK_PASSWORD: admin
    KEYCLOAK_LOGLEVEL: ALL
    # 添加以下两个关键配置
    KEYCLOAK_FRONTEND_URL: http://localhost:8080/auth/
    KC_HOSTNAME: localhost

• KEYCLOAK_FRONTEND_URL：指定Keycloak对外暴露的前端地址，供宿主机/外部客户端使用
• KC_HOSTNAME：强制Keycloak识别自己的主机名为localhost，确保容器内部验证Token时，会认可localhost作为合法的issuer

修改后重启Keycloak，重新生成Token，此时无论是宿主机调用还是API容器用keycloak:8080地址调用，都能正常验证Token。

方案2：让API容器使用宿主机网络（临时测试用） #

如果不想修改Keycloak配置，可以让API容器直接使用宿主机网络，这样容器内的localhost就指向宿主机的Keycloak：

at_core_backend:
  restart: unless-stopped
  depends_on:
    - keycloak
    - db
  ports:
    - "3000:3000"
  network_mode: host  # 启用宿主机网络
  environment:
    KEYCLOAK_SERVER_URL: http://localhost:8080/auth/

这种方式会破坏Docker的网络隔离性，不适合生产环境，仅用于临时验证问题。

方案3：添加多Issuer白名单 #

进入Keycloak管理控制台手动配置允许的issuer地址：

1. 登录http://localhost:8080/auth/admin
2. 进入main Realm → 点击Realm Settings → 切换到Tokens标签页
3. 在Valid Issuers中添加http://keycloak:8080/auth/realms/main
4. 保存配置

这样Keycloak会同时认可localhost:8080和keycloak:8080两个issuer地址，但长期维护需要手动同步地址，不如方案1简洁。

验证步骤 #

1. 重启Keycloak容器（修改配置后）
2. 从宿主机重新获取Token：

   curl -X POST http://localhost:8080/auth/realms/main/protocol/openid-connect/token \
     -H "Content-Type: application/x-www-form-urlencoded" \
     -d "username=salmanadmin" \
     -d "password=你的用户密码" \
     -d "grant_type=password" \
     -d "client_id=dashboard"
   

3. 进入API容器内部测试：

   docker exec -it <你的API容器名称> bash
   curl -H "Authorization: Bearer 新获取的Token" http://keycloak:8080/auth/realms/main/protocol/openid-connect/userinfo
   

此时应该能正常返回用户信息。

内容的提问来源于stack exchange，提问作者MrSalman