多边缘节点下Spring+K8s+Keycloak的无效令牌颁发者问题求助

我来帮你解决这个头疼的问题！这种情况在多边缘节点的K8s环境里非常常见，核心原因是Keycloak签发的Token里的issuer字段和Spring Boot应用配置的keycloak.auth-server-url不匹配——当请求从非配置的边缘节点进入时，Token的issuer是该边缘节点的地址，而Spring只认你指定的那个节点地址，所以会触发Invalid token issuer错误。下面是几个靠谱的解决方案：

这是最根本、最符合生产环境最佳实践的解决方式，让所有用户请求都通过一个统一域名访问Keycloak，不管流量落到哪个边缘节点，Token的issuer都会是这个统一域名。

• 给Keycloak配置K8s Ingress，绑定一个公共域名（比如auth.example.com）
• 登录Keycloak管理后台，进入对应Realm的Realm设置，把Frontend URL设置为这个统一域名（格式：https://auth.example.com），这样Keycloak签发的Token里的issuer就会固定为这个域名，而非单个边缘节点的地址
• 将Spring应用的keycloak.auth-server-url也修改为这个统一域名，从此不管请求从哪个边缘节点过来，Token的issuer都会和应用配置匹配

如果你暂时没法配置统一域名，可以让Spring应用接受多个边缘节点的issuer地址：

• 如果你用的是新版Spring Security OAuth2，直接通过配置文件添加多个合法的issuer URI即可：

spring.security.oauth2.resourceserver.jwt.issuer-uri[0] = https://edge-node-1.example.com/auth/realms/your-realm
spring.security.oauth2.resourceserver.jwt.issuer-uri[1] = https://edge-node-2.example.com/auth/realms/your-realm

• 如果你用的是旧版Keycloak Spring Boot Starter，可以自定义JwtDecoder Bean，手动添加多issuer验证逻辑：

@Bean
public JwtDecoder jwtDecoder() {
    // 基础解码配置
    NimbusJwtDecoder jwtDecoder = (NimbusJwtDecoder) JwtDecoders.fromOidcIssuerLocation("https://edge-node-1.example.com/auth/realms/your-realm");
    
    // 构建多issuer验证器
    OAuth2TokenValidator<Jwt> issuerValidator1 = JwtValidators.createDefaultWithIssuer("https://edge-node-1.example.com/auth/realms/your-realm");
    OAuth2TokenValidator<Jwt> issuerValidator2 = new JwtIssuerValidator("https://edge-node-2.example.com/auth/realms/your-realm");
    OAuth2TokenValidator<Jwt> multiIssuerValidator = new DelegatingOAuth2TokenValidator<>(issuerValidator1, issuerValidator2);
    
    jwtDecoder.setJwtValidator(multiIssuerValidator);
    return jwtDecoder;
}

// 自定义单issuer验证器
static class JwtIssuerValidator implements OAuth2TokenValidator<Jwt> {
    private final String expectedIssuer;

    JwtIssuerValidator(String expectedIssuer) {
        this.expectedIssuer = expectedIssuer;
    }

    @Override
    public OAuth2TokenValidatorResult validate(Jwt token) {
        if (!expectedIssuer.equals(token.getIssuer())) {
            return OAuth2TokenValidatorResult.failure(new OAuth2Error(OAuth2ErrorCodes.INVALID_TOKEN, "Invalid issuer", null));
        }
        return OAuth2TokenValidatorResult.success();
    }
}

有时候Keycloak会自动使用自身Pod IP或边缘节点IP作为issuer，这是因为Frontend URL没有正确配置：

• 如果是用Deployment部署Keycloak，在启动参数中添加--hostname=auth.example.com和--hostname-strict=false（允许内部服务访问的话）
• 如果是修改Keycloak配置文件（standalone.xml或standalone-ha.xml），找到Keycloak子系统配置：

<subsystem xmlns="urn:jboss:domain:keycloak-server:1.1">
    <web-context>auth</web-context>
    <frontend-url>https://auth.example.com/auth</frontend-url>
</subsystem>

如果Spring应用和Keycloak都在K8s集群内部，可以让Spring通过Keycloak的ClusterIP Service访问，避免直接依赖边缘节点地址：

• 获取Keycloak的ClusterIP Service地址（比如http://keycloak-service.default.svc.cluster.local:8080/auth）
• 将Spring应用的keycloak.auth-server-url修改为该集群内部地址，同时确保Keycloak的Frontend URL也配置为这个地址（保证Token的issuer和应用配置一致）

内容的提问来源于stack exchange，提问作者user6120465