Keycloak集成问题：SimplePrincipal无法转换为KeycloakPrincipal

我来帮你分析下这个问题，你遇到的这个强制转换异常，核心原因是EJB容器没有将Keycloak的完整身份信息传递到SessionContext中，而是用了默认的SimplePrincipal替代。下面是具体的排查和解决步骤：

1. 先给EJB添加安全注解（最常见的修复点） #

如果你的EJB类或方法没有配置安全约束，容器不会主动传递Keycloak的KeycloakPrincipal，而是使用简化的SimplePrincipal。你需要添加对应的安全注解来触发容器的身份传递逻辑：

@Stateless
@DeclareRoles("app-user") // 声明你的应用用到的角色，替换为实际角色名
public class ContextoSesionEJB {
    @Resource SessionContext sessionContext;
    private static final Logger logger = Logger.getLogger(ContextoSesionEJB.class.getName());

    // 给方法添加角色校验注解，确保容器传递完整Principal
    @RolesAllowed("app-user")
    public boolean validarUsuario(String nombreUsuario){
        logger.info("Inicia metodo validarUsuario");
        Principal principal = sessionContext.getCallerPrincipal();
        
        // 先做类型判断，避免强制转换异常
        if (principal instanceof KeycloakPrincipal) {
            KeycloakPrincipal<?> keycloakPrincipal = (KeycloakPrincipal<?>) principal;
            if(keycloakPrincipal.getName().equals(nombreUsuario)){
                return true;
            } else {
                logger.info("El usuario no corresponde al usuario logueado");
                return false;
            }
        } else {
            logger.warning("当前Principal不是KeycloakPrincipal类型: " + principal.getClass().getName());
            return false;
        }
    }

    @RolesAllowed("app-user")
    public AccessToken getToken(){
        logger.info("Inicia metodo obtenerToken");
        Principal principal = sessionContext.getCallerPrincipal();
        
        if (principal instanceof KeycloakPrincipal) {
            KeycloakPrincipal<KeycloakSecurityContext> keycloakPrincipal = 
                (KeycloakPrincipal<KeycloakSecurityContext>) principal;
            return keycloakPrincipal.getKeycloakSecurityContext().getToken();
        } else {
            logger.warning("无法获取Keycloak Token，Principal类型不匹配");
            return null;
        }
    }
}

2. 验证容器的Keycloak安全域配置 #

如果是WildFly/JBoss这类容器，需要确保EJB使用的安全域是Keycloak的安全域，而不是默认的安全域。可以在jboss-ejb3.xml中配置：

<jboss:ejb-jar xmlns:jboss="http://www.jboss.com/xml/ns/javaee"
               xmlns="http://java.sun.com/xml/ns/javaee"
               version="3.1"
               impl-version="2.0">
    <assembly-descriptor>
        <security>
            <ejb-name>ContextoSesionEJB</ejb-name>
            <security-domain>keycloak</security-domain> <!-- 对应你配置的Keycloak安全域名称 -->
        </security>
    </assembly-descriptor>
</jboss:ejb-jar>

3. 检查Keycloak适配器配置 #

确认你的应用的Keycloak适配器配置（比如keycloak.json）是完整的，尤其是针对EJB的适配项：

• 确保bearer-only或public-client配置正确（根据你的应用类型）
• 检查realm、auth-server-url、resource等参数是否和Keycloak后台一致

4. 兼容处理：从上下文数据中直接获取KeycloakSecurityContext #

如果以上配置都没问题，但还是无法获取KeycloakPrincipal，可以尝试从EJB调用上下文的ContextData中直接提取Keycloak的安全上下文：

public AccessToken getToken(){
    logger.info("Inicia metodo obtenerToken");
    // 从调用上下文数据中获取KeycloakSecurityContext
    KeycloakSecurityContext securityContext = 
        (KeycloakSecurityContext) sessionContext.getContextData().get(KeycloakSecurityContext.class.getName());
    
    if (securityContext != null) {
        return securityContext.getToken();
    } else {
        logger.warning("无法从上下文获取KeycloakSecurityContext");
        return null;
    }
}

内容的提问来源于stack exchange，提问作者Allanh