Keycloak与Spring Boot集成问题：Ajax/模态框请求返回401未授权

我之前在做Keycloak整合Spring Boot的项目时，也碰到过几乎一模一样的问题——偶尔点击href打开模态框或者Ajax提交表单时，突然收到401，服务端没报错日志，还带着WWW-Authenticate: Bearer realm="Unknown"的响应头，确实挺让人困惑的。结合当时的排查经验，给你几个可能的方向和解决方法：

1. Token 过期或未正确携带 #

这是最常见的原因。如果页面长时间处于闲置状态，Keycloak的Access Token可能已经过期，而前端没有自动刷新Token的逻辑，导致后续请求带着失效的Token甚至没带Token。

• 排查步骤：打开浏览器开发者工具（F12），切换到Network标签，找到那个401的请求，查看Request Headers里有没有Authorization: Bearer <你的Token>。如果没有，说明前端没传；如果有，复制Token到Keycloak的Token Introspect接口（或者用JWT解析工具）验证是否过期、签名是否有效。
• 解决方法：用Keycloak官方的JS Adapter来管理Token，在发起请求前调用updateToken()方法检查Token有效性，过期自动刷新。比如：

  keycloak.updateToken(5).then(function(refreshed) {
    if (refreshed) {
      console.log('Token refreshed');
    } else {
      console.log('Token still valid');
    }
    // 这里发起你的Ajax请求
  }).catch(function() {
    console.log('Failed to refresh token, redirecting to login');
    keycloak.login();
  });
  

2. CORS 配置遗漏预检请求 #

浏览器会对跨域的POST/PUT/DELETE等请求先发送OPTIONS预检请求，如果Spring Security或Keycloak的CORS配置没处理好，预检请求失败后，后续的实际请求就会被拦截返回401，而且服务端可能不会记录错误日志。

• 排查步骤：看Network里有没有对应的OPTIONS请求，状态码是不是200。如果OPTIONS请求也返回401，那肯定是CORS配置的问题。
• 解决方法：在Spring Boot里配置正确的CORS规则，允许前端域名、允许Authorization头、处理OPTIONS请求：

  @Configuration
  public class CorsConfig {
      @Bean
      public CorsConfigurationSource corsConfigurationSource() {
          CorsConfiguration config = new CorsConfiguration();
          config.setAllowedOrigins(Collections.singletonList("https://你的前端域名"));
          config.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
          config.setAllowedHeaders(Arrays.asList("Authorization", "Content-Type"));
          config.setAllowCredentials(true);
          UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
          source.registerCorsConfiguration("/**", config);
          return source;
      }
  }
  

  然后在SecurityFilterChain里加上cors(withDefaults())，确保CORS过滤器先执行。

3. Keycloak Realm 配置不匹配 #

响应头里的realm="Unknown"很关键——这说明Spring Security的Bearer过滤器找不到对应的Realm配置，大概率是你的Keycloak适配器配置有误。

• 排查步骤：检查application.properties或application.yml里的Keycloak配置，确认keycloak.realm的值和Keycloak后台创建的Realm名称完全一致，包括大小写！另外keycloak.auth-server-url、客户端ID、密钥也要核对正确。
• 解决方法：修正配置，比如：

  keycloak.realm=my-realm
  keycloak.auth-server-url=http://localhost:8080/auth
  keycloak.resource=my-client-id
  keycloak.credentials.secret=xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxx
  keycloak.use-resource-role-mappings=true
  

4. Session 与 Token 不同步 #

如果你的项目同时用了Spring Session和Keycloak Token，可能会出现Session过期但Token还没失效，或者反过来的情况，导致请求被拦截。

• 解决方法：可以配置Keycloak适配器关闭Session创建，强制使用Token认证：

  keycloak.turn-off-session-creation=true
  

  这样所有请求都靠Token验证，避免Session和Token不同步的问题。

5. 开启Debug日志排查细节 #

如果以上方法都没解决，建议开启Spring Security和Keycloak的Debug日志，看看请求到底被哪个过滤器拦截了，为什么返回401。在application.properties里添加：

logging.level.org.springframework.security=DEBUG
logging.level.org.keycloak=DEBUG

日志里会详细打印每个过滤器的执行过程，能帮你定位到具体是权限判断、Token解析还是其他步骤出了问题。

内容的提问来源于stack exchange，提问作者Droide