Keycloak 重定向 URI 正在将端口 0 添加到 url

在keycloak 中遇到redirect_uri 错误。发现 JIRA 记录了相同的问题KEYCLOAK-7237 https://issues.jboss.org/browse/KEYCLOAK-7237，只是想检查一下是否有解决办法？有人可以帮忙吗？先感谢您。

2018-06-30 11:34:13,996 警告 [org.keycloak.events] （默认任务 8） type=LOGIN_ERROR、realmId=Victz、clientId=portal、userId=null、ipAddress=、error=invalid_redirect_uri、redirect_uri=https://www.example.com:0/home https://www.example.com:0/home

我正在使用在 centos7、wildly 10、keycloak 3.4.3 上运行的 apache http 反向代理。也在以下环境中尝试过，但出现同样的错误。

尝试过 狂野 10、狂野 11、jboss 7.1、 Keycloak 3.4.3 以及 keycloak 4.0

还尝试关闭 apache http 并直接访问http://www.example.org:8080/home http://www.example.org:8080/home，但似乎 return_uri 自动转换为端口 0 的 https。

请参阅下面的standalone.xml，尝试删除下面的proxy-peer和request-dumper配置，但没有成功。

    <subsystem xmlns="urn:jboss:domain:undertow:4.0">
        <buffer-cache name="default"/>
        <server name="default-server">
            <http-listener name="default" socket-binding="http" proxy-address-forwarding="true" enable-http2="true"/>
            <https-listener name="https" socket-binding="https" proxy-address-forwarding="true" security-realm="ApplicationRealm" enable-http2="true"/>
            <host name="default-host" alias="localhost">
                <location name="/" handler="welcome-content"/>
                <location name="/drive" handler="drive"/>
                <access-log pattern="%h %l %u %t &quot;%r&quot; %s %b &quot;%{i,Referer}&quot; &quot;%{i,User-Agent}&quot; &quot;%{i,COOKIE}&quot; &quot;%{o,SET-COOKIE}&quot; %S &quot;%I %T&quot;" prefix="access."/>
                <filter-ref name="server-header"/>
                <filter-ref name="x-powered-by-header"/>
                <http-invoker security-realm="ApplicationRealm"/>
            </host>
            <host name="example1" alias="example.com1,www.example.com1" default-web-module=“example1-0.1.war">
                <location name="/drive" handler="drive”/>
                <filter-ref name="proxy-peer"/>
                <filter-ref name="request-dumper" priority="30"/>
            </host>
            <host name="example2" alias="example.com2,www.example.com2" default-web-module="example2-0.1.war">
                <location name="/drive" handler="drive"/>
                <filter-ref name="proxy-peer"/>
                <filter-ref name="request-dumper" priority="30"/>
            </host>
            <host name="example3" alias="example.com3,www.example.com3" default-web-module="example3-0.1.war">
                <location name="/drive" handler="drive"/>
                <filter-ref name="proxy-peer"/>
                <filter-ref name="request-dumper" priority="30"/>
            </host>

        </server>
        <servlet-container name="default">
            <jsp-config/>
            <websockets/>
        </servlet-container>
        <handlers>
            <file name="welcome-content" path="${jboss.home.dir}/welcome-content"/>
            <file name="drive" path="/app/drive"/>
        </handlers>
        <filters>
            <response-header name="server-header" header-name="Server" header-value="JBoss-EAP/7"/>
            <response-header name="x-powered-by-header" header-name="X-Powered-By" header-value="Undertow/1"/>
            <filter name="proxy-peer" class-name="io.undertow.server.handlers.ProxyPeerAddressHandler" module="io.undertow.core"/>
            <filter name="request-dumper" class-name="io.undertow.server.handlers.RequestDumpingHandler" module="io.undertow.core"/>
        </filters>
    </subsystem>

Context

使用Keycloak时Spring Boot 客户端适配器 https://www.keycloak.org/docs/latest/securing_apps/#_spring_boot_adapter在反向代理后面，URL 查询参数redirect_uri set by OAuthRequestAuthenticator.java https://github.com/keycloak/keycloak/blob/master/adapters/oidc/adapter-core/src/main/java/org/keycloak/adapters/OAuthRequestAuthenticator.java可能包含端口后缀:0由于配置不完整或错误。

基本问题

为了构建redirect_uri，Spring Boot 应用程序需要猜测其公共 URL，至少包括协议和主机名，可能还包括 IP 端口。在反向代理后面，这需要与代理合作和/或显式配置。

解释：0

The :0，如果存在，可能是由OAuthRequestAuthenticator.java https://github.com/keycloak/keycloak/blob/eacc95b6998cd16d8a0574660946ee7d8727b527/adapters/oidc/adapter-core/src/main/java/org/keycloak/adapters/OAuthRequestAuthenticator.java#L153（这种松散的处理可能被认为是一个错误，但在目前的情况下源于不完整的配置。）：Keycloak 识别出 Spring Boot 应用程序正在谈论 HTTPS，但它发现没有 HTTPS 端口配置，因此它默认为零。

解决步骤

假如说：

• 这是关于 Spring Boot 应用程序
• 在反向代理后面运行
• 充当 Keycloak 客户端

您需要确保以下事项来解决问题：

1. configure the reverse proxy to add following headers
   • x-forwarded-for告诉主机名
   • x-forwarded-proto判断连接是否安全
2. configure the Spring Boot app to act correctly
   • 只需阅读当前的 Spring Boot有关在代理服务器后面运行的“操作方法”指南 https://docs.spring.io/spring-boot/docs/current/reference/html/howto.html#howto-use-behind-a-proxy-server（一个简洁的屏幕页面）
3. configure Keycloak's Spring Boot adapter https://www.keycloak.org/docs/latest/securing_apps/#_java_adapter_config
   • 也许你需要明确设置confidential-port to 443

故障排除/交叉检查

只有一点：假设这是关于反向代理后面的 Spring Boot 应用程序，您应该能够使用tcpdump或类似的方式来监控未加密的流量（例如-i lo -s0 -A）并查看 HTTP 标头。发送到 Spring Boot 应用程序的任何请求都应包含上述 Spring Boot Security How-to 所需的标头（x-forwarded-for and x-forwarded-proto），否则，代理配置错误。