Keycloak Spring Boot Adapter 无法跳过公开资源路径授权校验

我来帮你搞定Spring Boot集成Keycloak时跳过公开资源授权校验的问题，结合你试过的方法，咱们把正确的配置方式理清楚：

1. 修正SecurityConfig的公开资源放行配置 #

你提到已经在SecurityConfig.configure()里设置"public"，可能是配置顺序或细节没到位。正确的做法是先放行公开路径，再应用Keycloak的认证规则，这样不会被后续的全局认证覆盖：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends KeycloakWebSecurityConfigurerAdapter {

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        KeycloakAuthenticationProvider keycloakAuthProvider = keycloakAuthenticationProvider();
        // 转换Keycloak权限格式为Spring Security标准格式
        keycloakAuthProvider.setGrantedAuthoritiesMapper(new SimpleAuthorityMapper());
        auth.authenticationProvider(keycloakAuthProvider);
    }

    // 让Spring Boot自动读取application配置中的Keycloak参数
    @Bean
    public KeycloakSpringBootConfigResolver keycloakConfigResolver() {
        return new KeycloakSpringBootConfigResolver();
    }

    @Bean
    @Override
    protected SessionAuthenticationStrategy sessionAuthenticationStrategy() {
        return new RegisterSessionAuthenticationStrategy(new SessionRegistryImpl());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        super.configure(http);
        http.authorizeRequests()
                // 放行所有公开资源，比如静态文件、健康检查接口等
                .antMatchers("/static/**", "/public/**", "/actuator/health").permitAll()
                // 其余所有路径必须经过Keycloak认证
                .anyRequest().authenticated();
    }
}

2. Spring Boot环境下Policy Enforcer的配置方法 #

你疑惑的Policy Enforcer，完全可以直接在application.properties或application.yml中配置，无需额外Java代码。下面是具体示例：

application.properties版本： #

# 全局兜底策略：未配置的路径仍进行校验（可选）
keycloak.policy-enforcer-config.enforcement-mode=PERMISSIVE

# 配置要跳过校验的公开路径
keycloak.policy-enforcer-config.paths[0].name=静态资源
keycloak.policy-enforcer-config.paths[0].path=/static/*
keycloak.policy-enforcer-config.paths[0].enforcement-mode=DISABLED

keycloak.policy-enforcer-config.paths[1].name=公开接口
keycloak.policy-enforcer-config.paths[1].path=/public/**
keycloak.policy-enforcer-config.paths[1].enforcement-mode=DISABLED

application.yml版本： #

keycloak:
  policy-enforcer-config:
    enforcement-mode: PERMISSIVE
    paths:
      - name: 静态资源
        path: /static/*
        enforcement-mode: DISABLED
      - name: 公开接口
        path: /public/**
        enforcement-mode: DISABLED

这里的核心是enforcement-mode=DISABLED，它会让Keycloak完全跳过对应路径的授权校验。

3. 排查潜在的配置冲突 #

如果上面的配置还是不生效，建议检查Keycloak控制台的客户端配置：登录Keycloak后台，找到你的应用客户端，进入Settings -> Advanced -> Security Constraints，确保没有添加包含公开路径的约束——如果有，删掉这些约束，让Spring Boot的本地配置优先生效。

验证配置是否生效 #

启动应用后，直接访问/static/**这类公开路径，应该不会跳转到Keycloak登录页面。也可以查看应用日志，确认Keycloak没有输出对这些路径的授权校验日志。

内容的提问来源于stack exchange，提问作者Ens