Spring Boot Security应用PCF部署无Thread链接报503问题

你遇到的Unable to fetch token keys from UAA报错、/cloudfoundryapplication路径返回503的问题，在同Org/Space下配置无差异、仅额外引入依赖的场景下，根因100%为依赖冲突或自定义配置覆盖了PCF Actuator的默认运行逻辑。
PCF平台对Spring Boot Actuator的集成逻辑，会在应用启动后自动通过应用内置的服务凭证访问UAA服务拉取token校验公钥，用来鉴权平台侧发来的Actuator端点访问请求，这个流程只要出现任何依赖兼容、请求拦截问题，就会直接导致整个cloudfoundryapplication端点模块不可用，返回503。

异常应用额外引入的依赖大概率命中了以下某类问题：

• 强制升降级了Jackson序列化组件版本：CF Actuator集成模块拉取UAA返回的公钥信息时，依赖Jackson做JSON解析，如果你引入的第三方依赖带了和当前Spring Boot版本不匹配的Jackson版本，会直接导致解析失败，抛出拉取token key失败的错误
• 带了全局出站请求拦截逻辑：比如自定义的RestTemplate拦截器、全局网络代理、API网关SDK、零信任安全组件这类依赖，默认拦截了应用发往PCF内部UAA地址的请求，导致拉取公钥的请求根本发不出去
• 覆盖了Spring Security默认过滤链规则：比如额外引入的安全starter自带默认安全配置，提前拦截了/cloudfoundryapplication/**路径的请求，或者把CF Actuator自带的安全校验逻辑覆盖掉，导致端点无法正常响应
• 引入了不兼容的Servlet过滤器：比如低版本的链路追踪组件、日志采集组件自带的Servlet Filter，对特殊路径的请求处理存在bug，提前截断了请求链路。

1. 先对齐核心依赖版本：分别在正常应用和异常应用上执行依赖树分析命令，Maven项目执行mvn dependency:tree，Gradle项目执行gradle dependencies，重点对比以下组件的版本，把异常应用里被额外依赖拉偏的版本对齐到正常应用的可用版本：
   • spring-cloud-cloudfoundry-actuator 及相关Spring Cloud CF组件
   • jackson-core、jackson-databind、jackson-annotations 等Jackson核心组件
   • spring-security-* 系列Spring Security组件
   • Servlet API相关组件
2. 排查出站拦截逻辑：检查额外引入的依赖是否配置了全局请求拦截、全局代理规则，把PCF平台内部的UAA服务地址加入拦截白名单，不要让自定义业务逻辑处理访问UAA的系统请求。
3. 校验安全配置规则：如果自定义了Spring Security配置，手动添加/cloudfoundryapplication/**路径的放行规则，参考代码：

   @Configuration
   public class SecurityConfig {
       @Bean
       public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
           http
               .authorizeHttpRequests(auth -> auth
                   .requestMatchers("/cloudfoundryapplication/**").permitAll()
                   .anyRequest().authenticated()
               );
           return http.build();
       }
   }
   

4. 打开调试日志定位具体报错：在异常应用的配置文件中添加logging.level.org.cloudfoundry=DEBUG，重新推送应用后拉取启动日志，查看拉取UAA token key失败的完整底层堆栈，是连接超时、SSL校验失败、JSON解析错误还是类找不到问题，对应修复即可。

不用一次性全量排查，可以把异常应用额外引入的依赖逐个移除，每移除一个就重新部署到PCF测试Actuator功能是否恢复，定位到具体触发问题的依赖后，再针对性做版本排除或者配置调整，效率最高。

同Org同Space下的应用，平台侧的UAA访问权限、服务账号绑定规则是完全一致的，不需要找平台运维侧排查权限问题。

内容的提问来源于stack exchange，提问作者S Atah Ahmed Khan