Keycloak多租户下Bearer-only微服务的KeycloakConfigResolver配置问询

嘿，我来帮你搞定这个多Realm场景下Bearer-only微服务的配置问题！既然网关已经实现了基于路径的Realm路由，那微服务这边核心就是从请求中识别对应Realm，并动态加载匹配的KeycloakDeployment，下面是具体的实现步骤：

1. 自定义KeycloakConfigResolver实现类 #

Bearer-only模式的服务没有前端跳转，只能通过请求中的信息（比如网关转发的路径前缀、自定义请求头）来判断所属Realm。咱们可以继承AbstractKeycloakConfigResolver，重写resolve方法来动态匹配配置：

import org.keycloak.adapters.KeycloakDeployment;
import org.keycloak.adapters.KeycloakDeploymentBuilder;
import org.keycloak.adapters.spi.HttpFacade;
import org.keycloak.adapters.springboot.AbstractKeycloakConfigResolver;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.stereotype.Component;

import java.util.Map;
import java.util.concurrent.ConcurrentHashMap;

@Component
public class MultiRealmKeycloakConfigResolver extends AbstractKeycloakConfigResolver {

    // 缓存已加载的Deployment，避免重复解析
    private final Map<String, KeycloakDeployment> deploymentCache = new ConcurrentHashMap<>();

    // 从配置文件读取多Realm的配置信息
    @Value("#{${keycloak.realms}}")
    private Map<String, Map<String, String>> realmConfigs;

    @Override
    public KeycloakDeployment resolve(HttpFacade.Request request) {
        // 方式1：从请求路径提取Realm标识（比如网关转发的路径是/realm-a/api/xxx）
        String path = request.getURI();
        String realmId = extractRealmFromPath(path);

        // 方式2：从网关转发的自定义请求头获取（比如X-Realm: realm-a）
        // String realmId = request.getHeader("X-Realm");

        if (realmId == null || !realmConfigs.containsKey(realmId)) {
            throw new IllegalArgumentException("Invalid or missing realm identifier in request");
        }

        // 缓存中存在则直接返回，否则构建新的Deployment
        return deploymentCache.computeIfAbsent(realmId, realm -> {
            Map<String, String> config = realmConfigs.get(realm);
            return KeycloakDeploymentBuilder.build(config);
        });
    }

    private String extractRealmFromPath(String path) {
        // 示例：路径格式为/realm-a/xxx/xxx，提取第一个路径段作为Realm ID
        String[] segments = path.split("/");
        if (segments.length >= 2) {
            return segments[1];
        }
        return null;
    }
}

2. 在application.yml中配置多Realm参数 #

把各个Realm的Keycloak配置统一放在配置文件里，方便管理：

keycloak:
  realms:
    realm-a:
      auth-server-url: https://keycloak.example.com/auth
      realm: realm-a
      resource: service-a-client
      credentials:
        secret: your-service-a-client-secret
      bearer-only: true
      ssl-required: external
    realm-b:
      auth-server-url: https://keycloak.example.com/auth
      realm: realm-b
      resource: service-b-client
      credentials:
        secret: your-service-b-client-secret
      bearer-only: true
      ssl-required: external

3. 注册自定义Resolver为Spring Bean #

上面的代码已经用@Component注解标记了，Spring会自动扫描并注册。如果没有用注解，也可以在配置类中手动注册：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class KeycloakConfig {

    @Bean
    public MultiRealmKeycloakConfigResolver multiRealmKeycloakConfigResolver() {
        return new MultiRealmKeycloakConfigResolver();
    }
}

关键注意事项 #

• 网关转发要求：确保网关在转发请求时，要么保留能识别Realm的路径前缀，要么添加自定义请求头（比如X-Realm），这样微服务才能正确识别Realm。
• Token验证匹配：每个Realm的Token issuer是唯一的（比如https://keycloak.example.com/auth/realms/realm-a），Keycloak会自动验证Token的issuer是否和Deployment中的realm匹配，所以不用担心跨Realm的Token被误验证。
• 缓存优化：上面的实现用了ConcurrentHashMap缓存Deployment，避免每次请求都重新解析配置，提升性能。

内容的提问来源于stack exchange，提问作者Cedric Thiebault