OpenShift集群启动后Quarkus Pod初始化OIDC租户配置未解析异常求解

问题根因 #

报错的核心原因是Quarkus OIDC组件尚未完成Keycloak租户配置拉取时，就绪探针请求命中了默认的安全校验逻辑，直接抛出异常。集群首次启动时Keycloak实例通常晚于你的应用Pod启动，首次拉取OIDC配置失败，且你的健康检查接口未豁免OIDC认证，所以直接返回500导致Pod就绪判定失败。手动重部署时Keycloak已经完成启动，OIDC配置拉取正常，所以运行无问题，这也是你延长健康检查超时时间没有生效的原因——不是探针超时，是接口直接返回了服务端错误。

解决方案 #

第一步：豁免健康检查接口的OIDC认证校验 #

两种方案二选一即可：

1. 配置路径排除（推荐，无需修改代码）
   在application.properties中增加如下配置：

# 排除健康检查路径不经过OIDC认证校验
quarkus.oidc.authentication.path-excluded-patterns=/api/health

2. 代码层面添加权限注解
   给health()方法增加@PermitAll注解，允许匿名访问：

import javax.annotation.security.PermitAll;

@GET
@Path("/health")
@PermitAll
@Produces(MediaType.TEXT_PLAIN)
public String health() {
    return "I'm ok";
}

第二步：配置OIDC配置拉取重试机制 #

集群启动时Keycloak可能启动较慢，增加重试配置避免首次拉取失败导致应用初始化异常，在application.properties中增加：

# OIDC配置拉取初始延迟3秒，适配Keycloak启动速度
quarkus.oidc.connection-delay=3S
# OIDC配置拉取最大重试次数，最多重试10次
quarkus.oidc.connection-retry-count=10
# 每次重试间隔3秒
quarkus.oidc.connection-retry-interval=3S

验证逻辑 #

修改配置后重新发布应用：

• 就绪探针访问/api/health时不会触发OIDC认证逻辑，只要应用进程启动就能正常返回200，不会再抛出租户配置未解析的异常
• 应用启动过程中会按配置重试拉取Keycloak的OIDC配置，等Keycloak就绪后就能完成租户配置加载，不影响后续业务接口的安全校验

内容的提问来源于stack exchange，提问作者iperezmel78