基于Spring Boot、Keycloak的SSO集成JWT扩展实现问询

嘿，结合你已经完成的Spring Boot + Keycloak SSO REST服务POC，我来给你一步步梳理怎么扩展用Keycloak签名JWT做客户端认证的功能：

背景回顾 #

你已经实现了：

• 基于Spring Boot和Keycloak的SSO概念验证（POC）
• 用Keycloak作为OAuth2服务器保护REST端点
• 当前通过clientId+密钥获取access token的方式运行正常

需求明确 #

你想要：

• 扩展该POC，使用Keycloak生成的签名JWT作为客户端认证方式

具体实现步骤 #

1. Keycloak端配置调整 #

首先在Keycloak控制台里给你的客户端配置JWT认证：

• 登录Keycloak，进入你的目标Realm，找到对应的客户端
• 切换到「Credentials」标签页，把「Client Authenticator」选项改成Signed JWT
• 选择签名算法（推荐用RS256，安全性更高）
• 如果需要自定义密钥对，可以上传自己的公钥；如果不需要，Keycloak会自动生成密钥对，你只需要记下Keycloak的JWKS端点（后续Spring Boot要用来验证签名）

2. Spring Boot项目依赖与配置更新 #

2.1 确认依赖

确保你的pom.xml（或build.gradle）包含OAuth2资源服务器的必要依赖：

<!-- Spring Security OAuth2 Resource Server 核心依赖 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>
<!-- 保持Keycloak Spring Boot适配器依赖（如果之前已引入） -->
<dependency>
    <groupId>org.keycloak</groupId>
    <artifactId>keycloak-spring-boot-starter</artifactId>
</dependency>

2.2 配置文件修改

在application.yml里替换原有的clientId+密钥配置，改为JWT验证相关配置：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://your-keycloak-domain/auth/realms/your-realm-name
          # Keycloak的JWKS端点，用来自动获取公钥验证JWT签名
          jwk-set-uri: http://your-keycloak-domain/auth/realms/your-realm-name/protocol/openid-connect/certs

keycloak:
  realm: your-realm-name
  resource: your-client-id
  auth-server-url: http://your-keycloak-domain/auth
  credentials:
    jwt:
      # 如果你用自己的密钥对签名，需要配置密钥库信息；用Keycloak自动生成的话可以省略这部分
      client-keystore: classpath:your-client-keystore.jks
      client-keystore-password: your-keystore-pass
      client-key-password: your-key-pass

提示：如果使用Keycloak自动生成的密钥对，只需要配置issuer-uri和jwk-set-uri即可，Spring Boot会自动拉取公钥验证JWT签名。

3. 调整Spring Security配置 #

更新你的Security配置类，确保它能正确处理JWT认证：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                // 这里可以根据你的需求配置哪些端点需要认证，哪些放行
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    // 可选：自定义JWT转换逻辑，比如提取Keycloak里的角色信息
                    .jwtAuthenticationConverter(new CustomKeycloakJwtConverter())
                )
            );
        return http.build();
    }
}

如果你需要把Keycloak JWT里的角色映射到Spring Security的权限，可以实现JwtAuthenticationConverter来自定义转换逻辑。

4. 测试JWT认证 #

你可以用curl命令先从Keycloak获取基于JWT签名的access token，再调用你的受保护端点：

1. 获取token：

curl -X POST \
  http://your-keycloak-domain/auth/realms/your-realm-name/protocol/openid-connect/token \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d 'grant_type=client_credentials&client_id=your-client-id&client_assertion_type=urn%3Aietf%3Aparams%3Aoauth%3Aclient-assertion-type%3Ajwt-bearer&client_assertion=YOUR_SIGNED_JWT'

2. 调用受保护端点：

curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" http://your-spring-boot-service/protected-endpoint

如果能正常返回数据，说明JWT认证配置成功啦！

内容的提问来源于stack exchange，提问作者Rivu