Android集成Google登录后与Keycloak进行Token Exchange失败问题咨询

核心错误根因已通过Keycloak日志明确：user info call failure，即Keycloak获取到你传入的Google令牌后，向Google官方接口请求校验用户信息失败，按照以下优先级排查即可：

1. 校验Google ID Token有效性 #

首先验证你Android端拿到的ID Token本身是否合法，执行以下请求：

curl https://oauth2.googleapis.com/tokeninfo?id_token=替换为你Android端拿到的subject_token值

如果返回报错，说明令牌本身无效，排查两个配置点：

• Android代码里requestIdToken(clientId)传入的clientId，必须是Google Cloud控制台中Web应用类型的客户端ID，不能使用Android类型的客户端ID，且该ID必须和Keycloak中Google身份提供商配置的客户端ID完全一致
• 检查Google Cloud控制台中该Web客户端ID的授权重定向URI，已添加Keycloak的Google身份提供商回调地址：http://<你的Keycloak服务地址>/auth/realms/<你的realm名称>/broker/google/endpoint

2. 检查Keycloak配置与网络连通性 #

• 你Token Exchange请求中传入的subject_issuer=google，必须和Keycloak中Google身份提供商的别名完全一致，大小写敏感，如果配置时用了其他别名（比如google-oidc），需要对应修改请求参数
• 确认Keycloak服务本身可以正常访问Google的公网接口，如果你用容器部署Keycloak，可进入容器执行curl请求测试连通性，网络不通是该类报错的高频原因
• 测试阶段建议打开Keycloak Google身份提供商的「存储令牌」开关，方便后续排查

3. 简化Token Exchange请求参数测试 #

你当前的请求可以调整两处降低排查复杂度：

• 移除requested_token_type参数，Keycloak默认会返回完整的access_token、refresh_token、id_token组合，无需显式指定
• 如果你用的是Keycloak内置的Social Google身份提供商配置，可将subject_token_type修改为urn:ietf:params:oauth:token-type:access_token，同时传入Android端拿到的Google Access Token作为subject_token测试，部分Keycloak版本对Google ID Token的校验逻辑兼容性较差，用Access Token更容易验证流程可行性

替代实现方案（无需Token Exchange） #

如果Token Exchange流程排查耗时较长，可使用Keycloak官方推荐的OIDC授权码流方案：
Android端直接调用Keycloak的授权端点，配置Keycloak默认使用Google身份提供商登录，此时会自动跳转Google登录页，只要用户手机已登录Google账号，无需二次输入凭证即可完成认证，回调拿到授权码后再兑换Keycloak令牌即可。
该方案核心配置要点：

• 用AppAuth库实现Android端OIDC授权请求，避免自己处理WebView适配问题
• Keycloak的android-app客户端配置自定义scheme的重定向URI，格式为你的应用包名:/oauth2callback
• 开启Keycloak realm的「身份提供商重定向」配置，跳过Keycloak默认登录页直接跳转Google

内容的提问来源于stack exchange，提问作者btafarelo