Keycloak生产环境jwks_uri响应不一致问题求助

问题定性 #

这种JWKS端点循环返回多组不同签名/加密密钥、导致KID不匹配触发401的情况，不是Keycloak的默认预期行为，核心原因基本是部署架构的配置疏漏。

常见原因 #

• 多实例部署未共享密钥存储：fly.io默认是分布式部署模式，若启动多个Keycloak实例，每个实例会自动生成独立的密钥对，反向代理轮询不同实例时，JWKS端点就会返回不同的密钥组。
• 反向代理缓存策略异常：若反向代理对JWKS响应做了不当缓存，或缓存失效逻辑不合理，也可能出现获取到过期/不匹配密钥的情况，但循环返回不同组更偏向多实例密钥不一致。

解决步骤 #

• 统一密钥存储：
  配置Keycloak使用外部共享存储来管理密钥，确保所有实例共用同一套密钥：
  • 使用JDBC存储密钥，添加启动参数：

    --spi-key-store-jdbc-enabled=true
    --spi-key-store-jdbc-data-source=java:jboss/datasources/KeycloakDS
    

  • 或配置Infinispan分布式缓存，让所有实例共享密钥缓存。
• 检查实例配置：确认fly.io上Keycloak是否为多实例部署，若是单实例仍出现问题，检查实例是否存在重启后重新生成密钥的情况（需确认持久化配置）。
• 手动导入固定密钥：
  在Keycloak控制台进入对应Realm的「Keys」菜单，删除自动生成的密钥，手动导入自定义的签名/加密密钥对，强制所有实例使用同一套密钥。
• 调整反向代理配置：确保反向代理不对JWKS端点做缓存，或缓存时长与Keycloak密钥轮换周期匹配；若使用轮询路由，需保证所有实例密钥同步。

补充说明 #

Keycloak默认的密钥轮换机制会保留旧密钥一段时间用于验证旧令牌，但不会出现循环返回完全独立的两组密钥的情况，因此优先排查多实例间的密钥同步问题。

内容的提问来源于stack exchange，提问作者John M