在 Docker 容器化微服务中，Spring Boot 应用通过 localhost:8085 访问 Keycloak 会失败，因其实际需通过容器内网（如 keycloak-service:8080）通信，而非宿主机回环地址。
在 docker 容器化微服务中，spring boot 应用通过 `localhost:8085` 访问 keycloak 会失败，因其实际需通过容器内网（如 `keycloak-service:8080`）通信，而非宿主机回环地址。
当使用 Docker Compose 编排多服务（如 Eureka、Auth Service 和 Keycloak）时，容器间通信必须基于 Docker 内部网络服务名，而非 localhost。这是因为每个容器拥有独立的网络命名空间：localhost 在 auth-server 容器内指向其自身，而非宿主机上的 Keycloak 服务；即使宿主机可通过 http://localhost:8085 访问 Keycloak，该地址对容器内部不可达。
在您的 docker-compose.yml 中：
keycloak-service:
image: 'keycloak/keycloak:latest'
container_name: keycloak-service
ports:
- "8085:8080" # 宿主机8085 → 容器8080
Keycloak 实际监听容器内 8080 端口，且 Docker 默认为 services 下定义的服务自动创建 DNS 解析 —— 即 auth-server 容器可直接通过服务名 keycloak-service 访问该容器，无需暴露端口到宿主机（ports 仅用于外部访问）。
因此，您必须将 Keycloak Admin Client 的 serverUrl 从：
.serverUrl("http://localhost:8085") // ❌ 容器内无效
修正为：
.serverUrl("http://keycloak-service:8080") // ✅ 正确的容器内服务发现地址
完整修正后的配置示例：
@Configuration
public class KeycloakConfig {
@Bean
public Keycloak keycloak() {
ResteasyClientBuilder resteasyClientBuilder = new ResteasyClientBuilderImpl();
Keycloak keycloak = KeycloakBuilder.builder()
.serverUrl("http://keycloak-service:8080") // ← 关键修改：使用服务名+容器端口
.grantType(OAuth2Constants.PASSWORD)
.realm("master")
.clientId("admin-cli")
.username("admin")
.password("keycloak")
.resteasyClient(resteasyClientBuilder.connectionPoolSize(10).build())
.build();
// 创建 Realm 和 Client 的逻辑保持不变（注意：生产环境应避免启动时自动创建，建议预配置或幂等化）
RealmRepresentation realm = new RealmRepresentation();
realm.setId("new-realm");
realm.setRealm("new-realm");
realm.setEnabled(true);
try {
keycloak.realms().create(realm);
} catch (Exception e) {
// 若 realm 已存在，忽略 409 Conflict
if (!e.getMessage().contains("409")) throw e;
}
ClientRepresentation client = new ClientRepresentation();
client.setClientId("my-backend");
client.setRedirectUris(List.of("http://localhost:8081/*"));
client.setWebOrigins(List.of("http://localhost:8081"));
keycloak.realm("new-realm").clients().create(client);
return keycloak;
}
}
⚠️ 重要注意事项：
-
依赖顺序保障：
depends_on仅控制启动顺序，不保证 Keycloak 服务已就绪（如 Admin Console 完全启动）。建议在keycloak()方法中加入健康检查重试逻辑（例如轮询/realms/master端点），或使用wait-for-it.sh等工具。 -
Spring Boot 版本兼容性：您混合使用了 Spring Boot 2.6.0（pom 中声明）、2.7.3 和 3.0.4 的依赖，极易引发
ClassCastException或NoSuchMethodError。请统一为 Spring Boot 3.x（推荐 3.2+）并适配 Keycloak Admin Client 22+（兼容 Jakarta EE 9+），或降级至 Spring Boot 2.7.x 并使用 Keycloak 21.x。 -
安全加固：
start-dev模式仅适用于开发；生产环境务必改用start命令，并配置 HTTPS、数据库持久化及强密码策略。 -
资源释放：
Keycloak实例实现了AutoCloseable，建议在@PreDestroy中显式调用close()以释放连接池。
遵循上述配置后，auth-server 将能稳定通过 Docker 内网与 Keycloak 交互，彻底解决 Connection refused 异常。
