如何调试使用Keycloak的Angular/Java/Spring应用的公开路由访问异常

前端（Angular 侧）配置与调试 #

• 优先检查 Keycloak 初始化参数：绝大多数路由强制跳转的根因是初始化时配置了 onLoad: 'login-required'，该参数会在应用启动时强制所有访问触发登录校验，优先级高于单路由的 canActivate 配置。将参数调整为 onLoad: 'check-sso'，该模式只会校验用户已有登录态，不会强制未登录用户跳转登录页。
• 排查全局路由守卫逻辑：如果你配置了全局生效的 CanActivate、CanMatch 守卫，或是全局 HTTP 拦截器中存在未登录自动跳转的逻辑，即使单路由删除了 canActivate 配置仍会被全局逻辑拦截。需要在全局校验逻辑中添加路径白名单规则，匹配到 /public-route 路径时直接返回 true 跳过校验。
• 前端调试方法：初始化 Keycloak 时添加 enableLogging: true 配置，在浏览器控制台可查看完整的认证流程日志；同时打开网络面板过滤 keycloak 相关请求，确认路由跳转前是否触发了认证重定向请求。

后端（Spring 侧）配置与调试 #

• 检查 Spring Security 全局规则：如果公开路由需要调用后端接口，后端返回 401 状态码也会触发前端的未登录跳转逻辑。需要在 SecurityFilterChain 配置中添加公开路径白名单：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            // 替换为公开路由关联的后端接口路径
            .requestMatchers("/public-api/**").permitAll()
            .anyRequest().authenticated()
        )
        .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
    return http.build();
}

• 排查 Keycloak 适配器配置：如果你使用了官方 Keycloak Spring 适配器，确认没有配置全局 security-constraints 规则强制拦截所有请求。
• 后端调试方法：添加全局请求日志过滤器，打印每个请求的权限校验结果，确认公开路由关联的接口是否被安全规则拦截返回 401/403 状态码。

生效验证步骤 #

• 清空浏览器缓存、本地存储中存储的 Keycloak 相关 Token 与状态数据
• 重启前后端服务，使用浏览器无痕模式直接访问 localhost:4200/public-route 验证配置是否生效

内容的提问来源于stack exchange，提问作者Nícolas Georgeos Mantzos