我正在开发一个微服务基础设施，并开始实施一个spring云网关来代理我的所有请求。我通过spring-boot-starter-oauth2-client依赖关系用keydrope保护了我的网关。我使用tokenrelay过滤器将承载者附加到我的代理请求中。我基本上是关注这个博客的https://blog.jdriven.com/2019/11/spring-cloud-gateway-with-openid-connect-and-token-relay/

spring.security.oauth2.client.provider.keycloak.issuer-uri=http://localhost:8090/auth/realms/testrealm
spring.security.oauth2.client.provider.keycloak.user-name-attribute=preferred_username
spring.security.oauth2.client.registration.keycloak.client-id=yyy
spring.security.oauth2.client.registration.keycloak.client-secret=xxx
spring.cloud.gateway.default-filters[0]=TokenRelay

现在，我将匹配/ping的所有请求路由到我的ping微服务。

spring.cloud.gateway.routes[0].id=some-id
spring.cloud.gateway.routes[0].uri=http://localhost:8079
spring.cloud.gateway.routes[0].predicates[0]=Path=/ping

ping微服务是一个spring-boot-starter-oauth2-resource-server，按此配置，只公开一个测试端点/ping。

spring.security.oauth2.resourceserver.jwt.issuer-uri=http://localhost:8090/auth/realms/testrealm

@Configuration
@EnableWebSecurity
@RestController
public class SecurityConfig extends KeyCloakSecurityConfig {
    @GetMapping("/ping")
    public String ping() {
        return "hello";
    }
    // ... resource server configuration in KeyCloakSecurityConfig
}

现在，我访问我的网关（在8765上运行），通过http://localhost：8765/ping我被正确重定向到keydrope的登录页。我使用testuser登录，并被重定向到网关，然后网关将代理我的请求到ping微服务。pingmicroservice根据keydrope再次验证accesstoken，我收到“hello”。
但是如果我想用postman测试我的api，我会假设，在调用我的/ping端点之前，我可以将承载令牌添加到授权头中。所以我用令牌端点获取accesstokenhttp://localhost：8090/auth/realms/testrealm/protocol/openid connect/token，并将其复制到我的网关请求的授权头中。但是在发送之后，我得到的是登录页面，而不是请求的资源。

当我在授权头中发送有效的承载令牌时，为什么我没有通过我的网关进行身份验证？
当我直接调用我的资源服务器时，承载令牌被接受。这是有意义的，因为api网关除了将我的访问令牌中继到资源服务器之外，没有做任何其他事情，所以他可以进行必要的令牌内省。
经过一番研究，我发现当我通过浏览器进行api调用时，spring实际上会将一个会话作为cookie发送给我。当我将此会话作为cookie复制到postman中的请求时，一切正常。是否有一些文档说明spring为什么使用会话，或者这基本上是身份验证代码，因为我们在这里使用的是授权代码流？
更新：经过一些研究，我发现我的网关确实已经是无状态的，因此sessioncookie不是来自我的网关，而是来自oauth2客户机依赖（请参阅如何使用oauth2使api网关成为无状态的身份验证/授权过程？）。因此，我用一个简单的spring启动应用程序重现了我的问题，用keydrope设置oauth2login并公开一个端点/ping。看到了吗https://github.com/smotastic/spring-oauth2-client-keycloak 如果您使用有效的承载访问令牌调用/ping，应用程序会将您重定向到keyposet的登录页，而不接受令牌，因为它需要有效的会话cookie