如何诊断Quarkus REST服务OIDC鉴权出现的403 Forbidden错误

1. 优先验证角色声明映射逻辑 #

你的配置指定了角色从userinfo接口的userroles字段获取，大概率是这一步解析失败导致没有拿到正确角色触发403：

• 直接调用OIDC服务商的/userinfo接口，请求头携带同样的有效Bearer令牌，确认返回的结构体里是否存在userroles字段，且字段值是字符串数组格式，数组内包含你@RolesAllowed注解中配置的角色名（注意大小写完全匹配）
• 如果你的userroles是嵌套结构，比如属于user.info下的字段，需要把quarkus.oidc.roles.role-claim-path改成对应嵌套路径，比如user.info.userroles
• 如果角色字段是单个字符串而非数组，Quarkus 1.13版本可能解析失败，需要添加配置quarkus.oidc.roles.split-role-values=true开启单值拆分能力

2. 修复日志输出缺失问题 #

你当前的日志仅打印了vertx路由层内容，没有OIDC相关处理日志，是因为你的日志配置仅对dev环境生效，确认你启动服务时使用的是dev profile，如果是其他环境需要去掉配置前的%dev.前缀：

# 去掉%dev前缀让日志配置在所有环境生效
quarkus.log.level=ALL
quarkus.log.category."io.quarkus.oidc".level=FINEST
quarkus.log.category."io.quarkus.security".level=FINEST

调整后重启服务重新发起请求，就能看到令牌解析、userinfo调用、角色提取的完整流程日志，可直接定位具体失败节点。

3. 简化配置验证鉴权流程 #

可以先临时调整配置，避免userinfo调用异常干扰验证：

# 关闭userinfo要求，直接从access token本身提取角色
quarkus.oidc.authentication.user-info-required=false
quarkus.oidc.roles.source=accesstoken
# 先用标准的scope/roles字段测试，确认鉴权逻辑正常后再改回自定义字段
quarkus.oidc.roles.role-claim-path=scope

如果修改后可以正常访问，说明之前的问题确实出在userinfo接口调用或者userroles字段解析环节。

4. 修复空响应体和异常映射问题 #

Quarkus 1.13默认安全类错误不会返回响应体，调整以下配置即可拿到具体错误信息，同时解决禁用主动鉴权后的500报错：

quarkus.http.auth.proactive=false
# 配合proactive=false解决getIdentity()线程调用报错
quarkus.security.identity.request-type=blocking

配置后即可捕获到完整的鉴权失败异常，不会再出现空响应体的情况。

内容的提问来源于stack exchange，提问作者user1969903