Quarkus配置Keycloak策略执行器后401场景拦截器过滤器失效咨询

• Keycloak策略强制执行器（Policy Enforcer）默认在Vert.x路由层执行，优先级远高于JAX-RS规范定义的拦截器、过滤器、异常映射器。权限校验在请求进入JAX-RS处理链之前就已完成，一旦校验不通过直接返回401/403响应，不会触发后续JAX-RS层的任何组件。
• 策略强制执行器的校验逻辑独立于quarkus.oidc.proactive-auth（主动认证）开关，即使关闭主动认证，只要启用了策略强制配置，校验逻辑仍然会在Vert.x层提前执行，抛出的异常属于Vert.x层异常，JAX-RS的异常映射器无法捕获。

方案1：使用Vert.x层的过滤器/异常处理器适配 #

如果不想改动策略强制执行器的默认执行逻辑，可直接在Vert.x层注册对应的处理器替换原来的JAX-RS层组件逻辑：

• 注册Vert.x RouteFilter 处理请求/响应逻辑，可自定义优先级确保在策略强制校验之前或之后执行
• 注册Vert.x FailureHandler 捕获401/403异常，实现自定义返回逻辑，代替原有的JAX-RS异常映射器

方案2：将策略强制校验下移到JAX-RS层手动触发（最兼容原有逻辑） #

关闭策略强制执行器的自动HTTP校验机制，在JAX-RS过滤器中手动触发校验，即可让所有JAX-RS组件正常生效：

1. 调整application.properties配置：

# 启用策略强制执行器
quarkus.keycloak.policy-enforcer.enable=true
# 关闭默认的自动HTTP校验逻辑，不再提前在Vert.x层执行
quarkus.keycloak.policy-enforcer.http-mechanism-enabled=false
# 保持主动认证关闭状态
quarkus.oidc.proactive-auth=false

2. 新增JAX-RS请求过滤器手动触发校验：

import jakarta.annotation.Priority;
import jakarta.enterprise.context.ApplicationScoped;
import jakarta.inject.Inject;
import jakarta.ws.rs.container.ContainerRequestContext;
import jakarta.ws.rs.container.ContainerRequestFilter;
import jakarta.ws.rs.Priorities;
import io.quarkus.keycloak.authorization.runtime.KeycloakPolicyEnforcer;

@Priority(Priorities.AUTHORIZATION)
@ApplicationScoped
public class ManualPolicyCheckFilter implements ContainerRequestFilter {

    @Inject
    KeycloakPolicyEnforcer policyEnforcer;

    @Override
    public void filter(ContainerRequestContext requestContext) {
        // 手动执行策略校验，抛出的异常可被JAX-RS异常映射器正常捕获
        policyEnforcer.enforce(requestContext);
    }
}

配置完成后，所有原来的reader/writer拦截器、Container请求/响应过滤器、异常映射器都可以在401场景下正常触发。

内容的提问来源于stack exchange，提问作者a.nayebi