Keycloak Spring Security Adapter使用公开客户端校验访问令牌的原理是什么

1 核心实现原理 #

你之前的认知偏差来源于默认将令牌校验等价于调用令牌自省接口，实际上Keycloak默认发放的访问令牌为自包含签名JWT格式，无需调用服务端接口也能完成合法性校验，这就是公开客户端场景下的校验核心：

• 适配器启动阶段会主动拉取当前Keycloak Realm的公钥列表，从{realm地址}/protocol/openid-connect/certs端点获取后缓存到本地
• 收到用户请求携带的访问令牌后，首先解析JWT头部获取kid（密钥ID），匹配到本地缓存的对应公钥
• 用公钥验证JWT签名合法性，确认令牌未被篡改
• 本地校验JWT内置声明：包括exp（过期时间）、iss（签发者）、aud（受众）、azp（授权客户端ID）是否和本地配置匹配

整个流程完全在本地完成，不需要调用需要客户端身份认证的令牌自省接口，自然不受公开客户端无密钥的限制。

2 Keycloak Spring Security Adapter的内置适配 #

该适配器默认内置了公开客户端的全量适配方案，你没有找到对应逻辑是因为公开客户端场景走的是本地JWT验签分支，而非远程自省分支：

• 配置keycloak.public-client=true后，适配器会自动跳过需要客户端密钥的认证逻辑，不会触发/token/introspect接口的调用
• 对应的校验逻辑分散在KeycloakAuthenticationProvider、JwtAccessTokenConverter等实现类中，默认优先走本地验签流
• 如果你有校验令牌提前吊销的需求，可手动配置开启适配器的远程吊销状态校验，该场景下调用的是Keycloak专用的吊销查询端点，公开客户端调用无需提供客户端密钥。

内容的提问来源于stack exchange，提问作者G K