Docker环境下运行的Keycloak无法被Spring Web应用连接问题求助

• 校验OpenID配置的issuer字段一致性
  这是该类报错最高发的原因：Spring Security OAuth2客户端/资源服务器默认会校验拉取到的OpenID配置中iss字段，和你配置的issuer地址必须完全字符串匹配。而Keycloak如果配置了frontendUrl、hostname等参数，会导致内部容器请求返回的OpenID配置中issuer是对外暴露的地址（如http://localhost:8080/auth/realms/someproject），和你填写的内部服务名地址不一致。
  验证方式：在报错的Spring容器内执行命令 curl http://keycloak:8080/auth/realms/someproject/.well-known/openid-configuration，查看返回JSON中的iss字段是否和你配置的issuer地址完全一致。如果不一致，可选择两种解决方案：1. 调整Keycloak的hostname相关配置，适配内部调用场景；2. Spring侧直接配置JWK地址跳过issuer配置拉取，比如Spring资源服务器可配置 spring.security.oauth2.resourceserver.jwt.jwk-set-uri=http://keycloak:8080/auth/realms/someproject/protocol/openid-connect/certs。
• 排查Spring容器的代理配置
  即使其他容器可正常访问，也要确认故障容器自身的HTTP代理配置：检查容器是否配置了http_proxy、https_proxy环境变量，且未将keycloak域名加入no_proxy列表，导致请求被代理转发无法访问内部域名。
• 排查JVM层面的网络配置
  Java进程的网络配置和容器系统级配置可能独立：检查Spring应用的启动参数是否配置了-Dhttp.proxyHost、-Dhttp.proxyPort等JVM代理参数，导致Java请求和容器内curl命令走不同的网络链路。可在Spring应用中增加简单的网络请求调试逻辑，验证Java进程能否正常获取OpenID配置内容。
• 校验配置的字符串准确性
  确认配置的issuer地址没有多余/缺失的末尾斜杠、realm名称大小写完全匹配（Keycloak的realm名称大小写敏感），Keycloak版本如果是17+的话，默认上下文路径已移除/auth，如果是自定义配置上下文路径的情况要确认路径完全匹配。
• 开启DEBUG日志查看根因
  将Spring应用中org.springframework.security.oauth2、org.keycloak相关包的日志级别调整为DEBUG，原始的报错信息过于笼统，DEBUG日志会输出具体的失败原因：是请求超时、JSON解析失败、还是issuer字段校验不匹配，可直接定位问题。
• 排查依赖版本兼容性
  确认你使用的Spring Security版本、Keycloak适配器版本和Keycloak服务端版本的兼容性，过老的客户端版本可能无法解析新版Keycloak返回的OpenID配置字段，导致解析失败。

内容的提问来源于stack exchange，提问作者BillN