Java应用转发X509客户端证书调用Keycloak的实现问题

你的实现思路存在根本性设计错误，完全不可行。 #

你对双向TLS认证的核心逻辑存在认知偏差，这是报错的根本原因：

• 服务端从HTTP请求中能提取到的只有调用方的公钥证书，永远不可能拿到调用方的私钥。私钥是调用方本地严格留存的敏感凭证，绝对不会在网络请求中传输，TLS握手阶段服务端只会收到对方出示的公钥证书链，用于校验对方身份，不可能获取到私钥内容。
• 你判断本地测试用的keystore.pfx仅存储客户端证书是误判：PKCS12文件如果只包含公钥证书、没有对应私钥，在执行SSLContextBuilder.loadKeyMaterial()时会直接抛出“未找到匹配私钥”的异常，根本不可能完成和Keycloak的双向TLS握手。你之前的代码能跑通，说明这个pfx里一定包含对应证书的私钥条目。
• 你在拦截器里构造的keystore只塞入了公钥证书，HttpClient和Keycloak做TLS握手时，无法出示带私钥签名的合法客户端凭证，Keycloak在TLS层就没收到有效客户端证书，自然返回X509 client certificate is missing的错误。
• 额外提一句，你提取证书的API也用错了：sslSupport.getLocalCertificateChain()取的是你服务自身的证书链，不是调用方的客户端证书，要取调用方证书应该调用sslSupport.getPeerCertificateChain()，但就算修正这个API，也解决不了没有私钥无法完成TLS握手的核心问题。

双向TLS认证的核心规则是：握手双方必须持有「自身证书对应的私钥」，才能完成握手阶段的签名校验流程，证明自己是证书的合法持有者。
你作为中间转发的服务端，没有调用方的私钥，就不可能冒充调用方和Keycloak完成双向TLS握手。如果某套架构里服务端能从请求中拿到调用方的私钥，说明整个TLS认证体系完全失效，没有任何安全性可言。 #

推荐采用OAuth2标准的服务端代理换票逻辑，完全不需要获取调用方私钥：

1. 在CXF拦截器中正确提取调用方的客户端证书链（修正API为getPeerCertificateChain()），先在本地完成证书合法性校验：校验证书信任链、有效期、吊销状态、证书主体DN/扩展字段是否符合准入规则，确认调用方身份合法。
2. 校验通过后，你的Spring Boot服务作为Keycloak的可信客户端，使用你本地已经调通的、带服务自身私钥的keystore，和Keycloak建立双向TLS连接。
3. 调用Keycloak的Token接口时，使用token-exchange授权类型，或者你自定义的授权扩展类型，传入你已经校验完成的调用方证书身份标识（比如证书序列号、主体DN、提前映射好的用户唯一ID），换取对应用户身份的JWT即可。

如果存在特殊场景必须让Keycloak直接校验调用方的客户端证书，只能采用四层TCP透传方案：把客户端到你服务的原始TLS流量直接转发给Keycloak，不在七层做HTTP解析。但这个方案下你无法解析SOAP报文、无法做前置业务校验，灵活性极差，非极端场景不建议使用。 #

内容的提问来源于stack exchange，提问作者geanakuch