使用nimbus-jose-jwt的RemoteJWKSet时如何查看远程JWKS请求日志？

无日志原因说明 #

nimbus-jose-jwt 的RemoteJWKSet组件默认使用JDK原生HttpURLConnection发送远程请求，核心代码中未对正常请求流程打印日志，仅在请求出错时抛出异常，因此仅配置logging.level.com.nimbusds=TRACE无法捕获请求记录。

可行监控方案 #

方案1：自定义资源拉取器（推荐，灵活性最高） #

RemoteJWKSet支持构造时传入自定义ResourceRetriever实现，你可以重写默认的资源拉取逻辑，嵌入自定义日志：

1. 实现带日志的拉取器

import com.nimbusds.jose.util.DefaultResourceRetriever;
import com.nimbusds.jose.util.Resource;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import java.io.IOException;
import java.net.URL;

public class LoggingResourceRetriever extends DefaultResourceRetriever {
    private static final Logger log = LoggerFactory.getLogger(LoggingResourceRetriever.class);

    // 可自定义连接超时、读取超时、响应体大小上限
    public LoggingResourceRetriever(int connectTimeout, int readTimeout, int sizeLimit) {
        super(connectTimeout, readTimeout, sizeLimit);
    }

    @Override
    public Resource retrieveResource(URL url) throws IOException {
        log.info("触发远程JWKS拉取请求，目标地址：{}", url);
        long startTs = System.currentTimeMillis();
        try {
            Resource resource = super.retrieveResource(url);
            log.info("远程JWKS拉取成功，耗时{}ms，响应长度：{}字节", System.currentTimeMillis() - startTs, resource.getContent().length());
            return resource;
        } catch (IOException e) {
            log.error("远程JWKS拉取失败，耗时{}ms，错误原因：{}", System.currentTimeMillis() - startTs, e.getMessage(), e);
            throw e;
        }
    }
}

2. 替换默认拉取器构造RemoteJWKSet

// 初始化自定义拉取器，示例配置5秒连接超时、5秒读取超时、1M响应上限
LoggingResourceRetriever retriever = new LoggingResourceRetriever(5000, 5000, 1024 * 1024);
// 构造时传入自定义拉取器
RemoteJWKSet remoteJWKSet = new RemoteJWKSet(new URL("你的JWKS服务地址"), retriever);

所有触发请求的场景（首次拉取、缓存过期刷新、签名校验失败强制刷新）都会走该逻辑，可100%捕获请求记录。

方案2：开启JDK原生HTTP日志（无代码侵入） #

如果不想修改业务代码，可直接在配置文件中添加日志配置，捕获HttpURLConnection的原生请求日志：

# 开启HTTP请求日志
logging.level.sun.net.www.protocol.http.HttpURLConnection=DEBUG
# 若使用HTTPS请求，可额外添加SSL日志配置
logging.level.javax.net.debug=ssl,handshake

该方案缺点是日志格式原生，可读性较差，无法自定义日志字段。

常见JWKS拉取触发时机 #

• 首次调用getKey()/getKeys()方法，本地缓存为空
• 缓存过期（默认缓存存活时间为5分钟，可通过DefaultResourceRetriever的setCacheTimeToLive方法自定义）后有新的密钥查询请求
• 使用缓存密钥验证签名失败，组件会主动触发一次强制刷新重试

内容的提问来源于stack exchange，提问作者samshers