Keycloak认证报错：存储中无法找到请求kid对应公钥

场景1：控制台报错 PublicKey wasn't found in the storage. Requested kid: 'Y3RDLAudovJPEU3Z9BMJL3OyuzqsgAj4424CpxnJqkI' . Available kids: '[]' #

这个报错的核心原因是管理页面显示的密钥元数据，和认证链路实际加载到内存的密钥存储不同步，按以下顺序排查：

• 密钥提供者配置不支持热加载：在Providers板块新增RS384类型keystore后，必须重启Keycloak服务，或执行realm配置重载操作，配置才会真正生效。仅在页面保存配置不会触发运行时的密钥加载，这也是Available kids返回空数组的最常见诱因。
• 校验keystore文件有效性：确认Keycloak运行进程对目标keystore文件有可读权限，同时核对keystore存储密码、单个密钥的访问密码配置正确，密钥算法确实为RS384、别名匹配。密码错误、权限不足时Keycloak会静默跳过密钥加载，不会在管理页面抛出显性提示，仅在实际认证请求触发时读不到密钥。
• 全量清除节点缓存：如果是集群部署，需要对所有集群节点执行缓存清除操作，操作路径为Realm设置 → 缓存 → 依次点击清除Realm缓存、清除用户缓存，避免旧的空密钥列表缓存被持续命中。

场景2：携带签名JWT的client_assertion请求token端点，报错 Invalid client: Unable to load Public key #

按以下顺序排查：

• 校验JWKS地址的连通性：从certs端点添加JWKS密钥时，必须保证Keycloak服务后端本身可以正常访问该JWKS地址，不要仅确认本地/Postman能访问该地址。如果填的是本地环回地址、仅前端可访问的公网地址，Keycloak后端拉取不到JWKS内容，自然无法加载对应公钥。
• 校验kid的严格匹配：签名client_assertion的JWT头中携带的kid，必须和JWKS返回的公钥kid完全一致，kid校验是大小写、字符严格匹配，不允许存在大小写差异、前后空格等问题。
• 校验签名算法一致性：签名client_assertion使用的算法，必须和JWKS中公钥对应的算法一致。如果密钥是RS384类型，签名JWT时不能使用RS256等其他算法，算法不匹配时Keycloak会直接判定公钥不可用，不会做降级匹配。
• 校验客户端认证配置：确认对应客户端的「Client authentication」开关已开启，且认证流中勾选了Private Key JWT模式；同时确认JWKS配置是绑定在当前客户端下的，全局Realm级别的密钥不会用于校验client_assertion签名，仅客户端自身配置的密钥/JWKS会在该流程生效。

快速验证规则：所有配置调整完成后，不要仅依赖管理页面的显示判断配置是否生效，直接调用Keycloak管理接口查询对应Realm的活动密钥列表，确认返回的kids数组包含目标RS384密钥；再查询对应客户端的JWKS返回内容，确认包含目标公钥后，再发起Postman认证请求即可。

内容的提问来源于stack exchange，提问作者Kiran