Spring Boot微服务调用UserController遇401授权错误求助

先定位问题节点 #

• 绕过API网关，直接访问UserService的本地端口（先查UserService配置文件里的server.port，比如假设是8081），调用接口：http://localhost:8081/api/v1/users/signup
  • 若仍返回401：问题在UserService的Keycloak授权配置
  • 若请求正常：问题在API网关的路由/授权逻辑

针对UserService的修复方案 #

如果直接访问服务仍401，逐一检查：

1. Keycloak配置匹配度
   • 确认application.yml里的spring.security.oauth2.resourceserver.jwt.issuer-uri是否正确指向Keycloak Realm地址，格式应为：http://localhost:8181/realms/[你的Realm名]（注意替换实际Realm，建议不要用默认master跑业务）
   • 登录Keycloak后台（http://localhost:8181/admin），检查对应客户端的配置：
     • Access Type设为confidential（服务端类型）
     • Valid Redirect URIs、Web Origins允许本地测试的话可临时设为*
2. 接口权限注解检查
   • signup是公开注册接口，不该加权限限制：
     • 移除方法上的@PreAuthorize/@Secured注解
     • 给接口加@PermitAll，或者在Security配置类里放行该路径：

       @Override
       protected void configure(HttpSecurity http) throws Exception {
           http.authorizeRequests()
               .antMatchers("/api/v1/users/signup").permitAll()
               .anyRequest().authenticated();
       }
       

3. 版本兼容性
   • 检查Spring Boot与Keycloak 18.0.2的适配性，确保spring-boot-starter-oauth2-resource-server的版本和Spring Boot版本匹配（比如Spring Boot 2.6.x适配Keycloak 18无问题）

针对API网关的修复方案 #

如果直接访问服务正常，网关访问报错：

1. 路由配置校验
   • 确认网关路由规则的uri是否正确指向UserService（比如lb://USER-SERVICE，需确保服务发现正常），路径匹配规则是否覆盖/api/v1/users/signup或/USER-SERVICE/api/v1/users/signup
2. 网关授权放行
   • 若网关开启了全局OAuth2校验，需将signup这类公开接口加入白名单，避免强制校验token，在网关的Security配置里添加放行规则
3. 请求头传递检查
   • 确保网关没有过滤掉Authorization请求头，否则UserService无法接收token（如果是需要授权的接口），导致401

额外验证点 #

• 确认signup接口本身不需要携带token，若误配置了全局授权校验，会导致公开接口也返回401
• 检查Keycloak的目标Realm是否正常启用，客户端状态是否为Enabled

内容的提问来源于stack exchange，提问作者Sercan Noyan Germiyanoğlu