我正在构建由Keycloak保护的微服务应用程序，并希望保护每个微服务。这里已经写了很多次了，每次你想验证你的令牌时都查询Auth服务（Keycloak -在我的情况下）不是一个好主意。因此，最好在本地验证签名，只要您的请求通过API网关传递到微服务。
所以，我想以这种方式设置我的Spring应用程序。

我说得对吗：

1. jwt.jwk-set-uri参数负责在本地检查JWT键。因此，当我设置这个时，将从Keycloak的端点获取打开的密钥，以便将来离线检查JWT签名的有效性。每次检查都不进入Keycloak的服务器。
   1.如果我设置issuer-uri而不设置jwk-set-uri，那么每个请求都将只进行在线JWT检查。
   如果以上所述都是错误的，请描述你认为正确的方法。不幸的是，Spring's doc在这一点上并不冗长，它指出：
   因此，资源服务器在启动时不会ping授权服务器。我们仍然指定issuer-uri，以便ResourceServer仍然在传入的JWT上验证iss声明。
   我所说的配置在这里（application.yaml）：

security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://localhost:3000/realms/msapp
          jwk-set-uri: ${spring.security.oauth2.resourceserver.jwt.issuer-uri}/protocol/openid-connect/certs

安全配置

@EnableWebFluxSecurity
@EnableReactiveMethodSecurity()
public class SecurityConfig {

    @Bean
    public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
        http
            .csrf().disable()
            .authorizeExchange()
                .pathMatchers("/login").permitAll()
            .anyExchange()
                .authenticated().and()
            .oauth2ResourceServer() 
                .jwt()
                .jwtAuthenticationConverter(keykloakJwtAuthConverter());
        return http.build();
    }