Spring Boot集成Keycloak携带Bearer Token访问鉴权接口报500错误

Keycloak 18.x 版本重构了Quarkus发行版的端点路径逻辑，旧版Keycloak Spring Security Adapter对public客户端的自动配置逻辑存在兼容缺陷：适配器不会在初始化阶段自动根据配置的auth-server-url、realm参数拼接拉取JWK公钥的地址，当访问带@RolesAllowed注解的接口触发Token验签、权限解析流程时，会尝试调用空的JWKS URI构造HTTP请求，直接触发空指针异常。
无@RolesAllowed注解的接口不会触发Token验签和权限校验流程，不带Token的请求会在认证拦截层直接返回401，两类场景都不会走到拉取公钥的逻辑，和你观察到的现象完全匹配，和依赖冲突、角色映射错误无关。

• 第一步先从错误堆栈确认触发点：定位到org.keycloak.adapters.KeycloakDeployment类的公钥加载逻辑，确认jwksUrl属性值为null，即可排除其他配置错误方向。
• 第二步检查现有application.properties配置，确认是否漏配OIDC元数据自动加载开关、或手动指定JWKS地址的参数。
• 第三步等空指针问题修复后，再校验签发的Token内realm_access.roles、resource_access.extern-user.roles字段的角色值，避免后续出现403权限拦截问题。

方案1：补全配置项，自动加载OIDC元数据 #

在application.properties中追加核心配置，让适配器启动时自动拉取Realm的OIDC发现端点，自动填充JWKS地址等参数，配置示例如下：

# 基础配置（替换为实际部署地址）
keycloak.auth-server-url=http://localhost:3000
keycloak.realm=TRP
keycloak.resource=extern-user
keycloak.public-client=true
keycloak.ssl-required=none
keycloak.use-resource-role-mappings=true
keycloak.confidential-port=0
# 核心补全配置
keycloak.autodetect-bearer-only=true
# 兜底手动指定JWKS地址，避免自动加载失败
keycloak.jwks-url=http://localhost:3000/realms/TRP/protocol/openid-connect/certs

配置完成后重启服务即可消除空指针异常。

方案2：自定义部署配置类，手动注入JWKS地址 #

如果补全配置后仍存在jwksUrl为null的问题，直接在你已有的MyKeycloakSpringBootConfigResolver类中，构建KeycloakDeployment实例时手动注入公钥地址：

// 构建KeycloakDeployment实例后追加以下逻辑
deployment.setJwksUrl(URI.create("http://localhost:3000/realms/TRP/protocol/openid-connect/certs").toURL());
deployment.setPublicKeyLocator(new JWKPublicKeyLocator());

方案3：补全注解驱动配置，确保@RolesAllowed生效 #

空指针问题修复后如果出现权限校验不通过的问题，在KeycloakSecurityConfig配置类上追加JSR-250注解开启开关，保证@RolesAllowed注解正常解析：

@Configuration
@EnableWebSecurity
// 追加下面这行注解开启@RolesAllowed注解解析
@EnableGlobalMethodSecurity(jsr250Enabled = true)
public class KeycloakSecurityConfig extends KeycloakWebSecurityConfigurerAdapter {
    // 现有配置逻辑无需修改
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        super.configure(http);
        http.authorizeRequests().anyRequest().permitAll();
        http.csrf().disable();
    }
}

• 无需将public客户端改为bearer-only模式：bearer-only模式不支持Standard Flow、Direct Access Grants等登录流程，仅适合纯后端资源服务场景，不符合当前集成要求。
• JDK17、Spring Boot 2.7.1、Keycloak 18.0.0三者不存在版本兼容冲突，不需要调整依赖版本。
• 如果使用Nginx等代理转发Keycloak请求，确保keycloak.auth-server-url配置的是外部可访问的地址，不要配置容器内部内网地址，避免公钥拉取失败。

内容的提问来源于stack exchange，提问作者mansillalucas