Spring Security/Keycloak：如何为同请求路径配置多Realm认证

需要让两个不同Realm（例如人工操作用户、S2S服务调用用户）下的用户均可访问同一个REST端点。
目前可查阅到的所有Keycloak多租户实现均建议实现KeycloakConfigResolver接口，基于请求路径匹配选择单一Realm完成认证，示例代码如下：

public class PathBasedKeycloakConfigResolver implements KeycloakConfigResolver {
    private final KeycloakDeployment realm1Deployment;
    private final KeycloakDeployment realm2Deployment;

    public PathBasedKeycloakConfigResolver() throws IOException {
        realm1Deployment = buildDeployment("realm1.json");
        realm2Deployment = buildDeployment("realm2.json");
    }

    @Override
    public KeycloakDeployment resolve(HttpFacade.Request request) {
        String path = request.getRelativePath();
        return path.startsWith("clients/") ? realm1Deployment : realm2Deployment;
    }

    private static KeycloakDeployment buildDeployment(String path) throws IOException {
        return KeycloakDeploymentBuilder.build(new ClasspathResource(path).getInputStream());
    }
}

上述实现要求每个请求路径只能绑定对应一个Realm，无法满足同端点多Realm认证的需求。目标实现逻辑为：同一请求可依次尝试在多个Realm下完成认证，选取首个认证成功的Realm结果放行请求，也可采用其他能达成该需求的可行方案。

方案1：自定义多Realm认证拦截器（最贴合需求） #

不要依赖原生KeycloakConfigResolver的单Realm路由逻辑，自行扩展认证拦截流程：

• 服务启动阶段提前加载所有需要支持的Realm对应的KeycloakDeployment实例，加载逻辑和上述示例的buildDeployment方法一致，做好实例复用避免重复加载配置。
• 替换Keycloak默认的单Realm认证过滤器，根据自己使用的技术栈选择对应拦截器实现：普通Servlet环境用Filter、Spring生态用HandlerInterceptor/Spring Security过滤器、JAX-RS环境用ContainerRequestFilter。
• 拦截器内执行多Realm认证逻辑：
  • 提前从请求头提取Bearer Token，避免重复读取请求流
  • 按预设优先级遍历所有预加载的Realm部署配置，逐个调用Keycloak原生的Token校验逻辑，完成验签、iss/aud声明校验、过期校验、权限匹配全流程
  • 任意一个Realm下认证通过，就将对应的用户认证信息写入当前请求的安全上下文，直接放行请求
  • 所有Realm均认证失败时，返回401未授权响应

性能优化：遍历校验前可以先无验签解析JWT的Payload，读取iss（签发者）声明直接匹配对应Realm，匹配成功直接走该Realm的认证流程，匹配失败再走全量遍历兜底，能大幅降低多Realm场景下的认证开销，适合Realm数量大于3的场景。

注意：不要强行改写KeycloakConfigResolver适配多Realm逻辑，该接口设计上就是为单次请求返回唯一的部署配置，硬改会破坏Keycloak内部的会话缓存、认证上下文存储逻辑，会产生很难排查的兼容问题。

方案2：Keycloak侧统一Token签发（运维成本更低） #

如果有Keycloak管理权限，可以调整Realm架构：

• 单独创建一个统一认证Realm，把原来两个Realm的用户、S2S服务账号都通过身份联邦的方式接入这个统一Realm
• 所有调用方都从这个统一Realm申请Token，服务端只需要对接这一个Realm即可，不需要在业务服务侧写多Realm认证逻辑
• 可以给不同来源的用户/服务账号打上不同的用户属性、角色标记，方便业务侧做权限区分

内容的提问来源于stack exchange，提问作者lance-java