SpringBoot集成Keycloak时服务间REST调用的服务对服务认证配置问题

我来帮你拆解这个问题——你遇到的401本质是service1作为Bearer Client拿到的令牌，没有通过service2的chief角色校验。因为默认情况下，客户端凭证流（Client Credentials Flow）获取的令牌只包含客户端本身的信息，不带用户角色；而你的服务接口都要求hasRole("chief")，自然会被拦截。下面给你具体的解决方案，顺便回答你提到的几个疑问：

核心方案1：为客户端添加chief角色（最贴合现有规则） #

这是最直接的方案，完全适配你当前的权限配置：

• 打开Keycloak控制台，找到service1对应的客户端（Bearer Client）
• 进入Roles标签，先确认chief角色存在（如果没有就新建）
• 把chief角色分配给service1的客户端：如果是Realm级角色，进入Users -> 找到service1的服务账户（开启Service Accounts后自动生成） -> Role Mappings添加chief；如果是客户端级角色，直接在service1客户端的Role Mappings里添加service2的chief角色
• 确保你的Keycloak客户端配置里，已经添加了roles客户端作用域，并且设置为包含客户端角色
• 验证：用JWT工具解码service1获取的令牌，能在realm_access.roles或resource_access.<service2-client-id>.roles里看到chief即可

这样service1的请求令牌就符合service2的hasRole("chief")校验规则，调用就不会返回401了。

核心方案2：允许内部Bearer Client互调（跳过角色校验） #

如果希望所有内部服务之间可以自由调用，不需要角色校验，可以针对服务间的接口单独配置放行规则：
在service2的SecurityConfig中，添加针对内部客户端的判断：

@Override
protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    http.authorizeRequests()
        // 保留原有的角色校验规则
        .antMatchers("/service2/**").hasRole("chief")
        // 新增：允许service1客户端直接访问该接口
        .antMatchers("/service2/data").access("@internalClientChecker.isAllowed(authentication)")
        .anyRequest().authenticated();
}

其中internalClientChecker是你自定义的工具类，用来判断当前令牌的客户端ID是否在内部服务白名单里：

@Component
public class InternalClientChecker {
    private final List<String> allowedClients = Arrays.asList("service1-client-id", "service3-client-id");

    public boolean isAllowed(Authentication authentication) {
        KeycloakAuthenticationToken token = (KeycloakAuthenticationToken) authentication;
        String clientId = token.getAccount().getKeycloakSecurityContext().getToken().getIssuedFor();
        return allowedClients.contains(clientId);
    }
}

这种方式适合内部服务完全互信的场景，不需要修改角色配置，只需要维护一个客户端白名单。

关于你提到的几个疑问 #

1. 能不能设置允许所有bearer client互相调用？ #

可以，把上面的白名单改成包含所有服务的客户端ID，或者直接判断令牌的客户端是否属于你的Realm内部客户端（比如通过客户端前缀识别）。但注意不要全局放行所有接口，只针对服务间调用的特定路径开放，避免安全风险。

2. 应为服务设置登录吗？ #

完全没必要。服务间调用的标准方式就是用客户端凭证流，不需要模拟用户登录。所谓的“服务设置登录”对应Keycloak的Service Accounts功能，它会给客户端绑定一个系统用户，但这属于冗余操作——除非你的业务逻辑必须依赖用户身份上下文，否则纯粹增加复杂度。

3. 仅为客户端添加角色可行吗？ #

这是最推荐的方案，因为它完全适配你现有的权限规则，不需要修改太多代码，只需要在Keycloak里做角色分配即可，是最简洁的解决方式。

额外注意事项 #

• 确保所有服务的Keycloak配置中，resource（客户端ID）填写正确，并且客户端类型设置为confidential或public（根据你的安全需求）
• 检查令牌的aud（受众）字段是否包含service2的客户端ID，否则service2会拒绝该令牌
• 如果你的角色是客户端级的，要确保service2的客户端允许service1的客户端访问其角色

内容的提问来源于stack exchange，提问作者Gregor Sklorz