本地Docker环境下Spring OAuth2资源服务器忽略无效签发者的方法

针对你遇到的Docker栈中Spring、Nginx、Keycloak的Issuer URI不匹配问题，这里有几个仅适用于本地开发的解决方案：

方案1：自定义JWT解码器，调整Issuer校验逻辑 #

通过自定义JwtDecoder，可以手动处理令牌中的Issuer声明，要么将其替换为Spring配置的内部地址，要么直接跳过Issuer校验（注意：仅本地开发使用，生产环境禁止跳过）。

示例代码（替换Issuer声明） #

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.oauth2.jwt.Jwt;
import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.security.oauth2.jwt.JwtValidators;
import org.springframework.security.oauth2.jwt.NimbusJwtDecoder;

@Configuration
public class LocalOAuth2Config {

    @Bean
    public JwtDecoder jwtDecoder() {
        // Keycloak的Docker内部地址
        String internalIssuerUri = "http://keycloak:8080/auth/realms/main";
        NimbusJwtDecoder decoder = NimbusJwtDecoder.withJwkSetUri(internalIssuerUri + "/protocol/openid-connect/certs").build();
        
        // 自定义验证：将令牌中的localhost Issuer替换为内部地址后再校验
        decoder.setJwtValidator(jwt -> {
            Jwt modifiedJwt = new Jwt(
                    jwt.getTokenValue(),
                    jwt.getIssuedAt(),
                    jwt.getExpiresAt(),
                    jwt.getHeaders(),
                    jwt.getClaims()
            );
            modifiedJwt.getClaims().put("iss", internalIssuerUri);
            return JwtValidators.createDefault().validate(modifiedJwt);
        });
        
        return decoder;
    }
}

简化版（直接跳过Issuer校验） #

如果不需要Issuer校验，也可以直接移除该验证逻辑：

decoder.setJwtValidator(jwt -> {
    // 仅验证令牌过期时间等核心字段，跳过Issuer校验
    return JwtValidators.createDefault().withoutIssuer().validate(jwt);
});

方案2：配置Spring容器的Hosts映射 #

在Docker Compose中给Spring服务添加extra_hosts，让容器内的localhost指向Keycloak服务，这样Spring就能通过http://localhost/auth/realms/main正常获取OAuth2配置，同时令牌的Issuer与配置一致，校验通过。

Docker Compose配置示例 #

services:
  spring-app:
    image: your-spring-image
    # 其他配置（端口映射、环境变量等）
    extra_hosts:
      - "localhost:keycloak"  # keycloak为Docker Compose中Keycloak服务的名称
  keycloak:
    image: quay.io/keycloak/keycloak:legacy
    # Keycloak的配置（端口、环境变量等）

然后在Spring的配置文件中设置：

spring.security.oauth2.resourceserver.jwt.issuer-uri=http://localhost/auth/realms/main

方案3：统一本地域名（接近生产环境的做法） #

1. 在本地hosts文件中添加一条映射：127.0.0.1 local.example.com
2. 修改Keycloak的启动参数，设置hostname为local.example.com：

   keycloak:
     command: ["start-dev", "--hostname=local.example.com", "--hostname-strict=false", "--hostname-strict-https=false"]
   

3. 在Spring服务的Docker Compose配置中添加extra_hosts：

   spring-app:
     extra_hosts:
       - "local.example.com:keycloak"
   

4. Spring配置文件中设置：

   spring.security.oauth2.resourceserver.jwt.issuer-uri=http://local.example.com/auth/realms/main
   

这个方案更贴近生产环境的域名配置，避免了localhost的解析问题。

注意：所有跳过Issuer校验的操作仅适用于本地开发，生产环境必须保证Issuer URI的一致性，严格校验令牌的Issuer信息，避免安全风险。

内容的提问来源于stack exchange，提问作者DrRelling