Spring Boot集成Keycloak认证后重定向至403禁止页面问题

结合你的配置和错误日志，我帮你梳理几个核心排查点，按优先级来处理：

1. 先解决PKIX证书信任错误（最关键） #

从日志里的javax.net.ssl.SSLHandshakeException可以看出，Spring Boot应用在向Keycloak请求token的时候，无法验证Keycloak的SSL证书，导致认证流程中断，这大概率是403的根源。

解决方法：

• 导入Keycloak证书到Spring Boot的JVM信任库：
  把你Nginx里用的sso.examle.com.crt证书导入到Spring Boot容器使用的Java信任库中。如果是Docker部署，在你的Spring Boot Dockerfile里添加以下步骤：

  COPY sso.examle.com.crt /tmp/
  RUN keytool -import -alias sso-cert -file /tmp/sso.examle.com.crt -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit -noprompt
  

  这里默认信任库密码是changeit，如果修改过请对应调整。
• 测试环境临时方案（禁止生产使用）：
  可以通过VM参数跳过证书验证，在启动命令里添加：

  -Djavax.net.ssl.trustStore=/path/to/your/custom/cacerts -Djavax.net.ssl.trustStorePassword=yourpassword
  

  或者代码里实现忽略SSL验证（不推荐生产）。

2. 检查Keycloak客户端的重定向URI配置 #

登录Keycloak后台，找到你的客户端：

• 确认Valid Redirect URIs列表里包含https://www.examle.com/*（你的Spring Boot应用域名），如果没添加，Keycloak会拒绝认证回调请求，直接返回403。
• 再次核对Access Type是否为confidential，以及Credentials里的Secret是否和Spring Boot配置文件中的KEYCLOAK_CLIENT_SECRET完全一致。

3. 调整Spring Boot Security配置，放行登录路径 #

你的SecurityConfig里，目前只放行了/home*相关路径，而/sso/login这个Keycloak的登录回调路径需要允许匿名用户访问，否则未认证的用户访问时会被拦截，返回403。修改configure(HttpSecurity http)方法：

@Override
protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    http
        .authorizeRequests()
        .antMatchers("/home*").hasRole("user")
        .antMatchers("/home/*").hasRole("user")
        .antMatchers("/sso/login/**").permitAll() // 新增这行，放行登录回调路径
        .anyRequest().permitAll();
    http.csrf().disable();
}

4. 确认Spring Boot正确处理反向代理头 #

虽然你在Nginx里配置了X-Forwarded-*头，但需要确保Spring Boot能正确识别这些头。在你的Spring Boot配置文件中添加：

# 新版本Spring Boot（2.2+）用这个
server.forward-headers-strategy=NATIVE
# 老版本用这个
# server.use-forward-headers=true

这会让Spring Boot基于反向代理传递的头信息生成正确的回调URL，避免因URL不匹配导致的认证失败。

按这个顺序排查，应该能解决你的403问题。先处理证书信任，这是日志里最明确的错误点，再依次检查其他配置。

内容的提问来源于stack exchange，提问作者smftr