java - 使用来自 Keycloak 的 URL OIDC 参数重定向给出错误请求

Question

我目前的设置如下:

• 运行 Active Directory 的 Windows 服务器。
• 在 WildFly 上运行的 Keycloak 服务器。
• 在 WildFly 上部署了具有受限访问权限的 Java 测试应用程序。

授权流程是来自 AD 的用户请求访问应用程序，用户被授予 Kerberos 票证，并尝试使用该特定票证访问同一应用程序。

Kerberos、Keycloak 和 AD 的所有配置都已完成，服务器和客户端之间的协议(protocol)正在顺利运行，但是最后一个“GET”请求，用户已被授予访问权限，这意味着使对包含 OpenID-Connect 参数(state= 和 code=)的 Keycloak 重定向 URL 的请求返回“错误请求”。

我对使用 Keycloak 作为 SSO 提供商的概念还很陌生，所以这可能是我错过的非常微不足道的事情。

[编辑]如果我在 Fiddler 中发出对受限页面的请求，它会给我一个“无状态 Cookie”，但是当我使用任何一种浏览器时，它会显示“禁止”，并且我的日志显示错误 [org.keycloak.adapters. OAuthRequestAuthenticator](默认任务 9) token 验证失败: token 颁发者无效。预计 http://KEYCLOAK:9090/auth/realms/kerberos-realms/ “但预期”http://keycloak:8080/auth/realms/kerberos-realm "

Answer 1

我确实找到了解决方案:

• 我尝试用浏览器更改 Fiddler 客户端，但我遇到了问题，它告诉我 token 的颁发者与预期的不同，我发现在我的 standalone.xml 中，身份验证端点拼写为大写字母，它期望一个小写字母。至于“No state cookie”，我猜浏览器处理这种请求，与 Fiddler 有点不同。