如何让Keycloak身份提供商将登录失败信息传递至客户端应用

针对你遇到的Keycloak拦截身份提供商（Okta）访问拒绝错误并显示自身登录页面的问题，有两种可行的实现方案，分别适合不同场景：

方案一：修改Keycloak主题错误页面（快速实现） #

通过自定义Keycloak的登录主题错误模板，当检测到身份提供商访问拒绝错误时，自动重定向回Spring Boot客户端：

1. 找到Keycloak服务器的主题目录，比如默认的themes/base/login/，复制其中的error.ftl到你自定义的主题目录（无自定义主题可新建）。
2. 在error.ftl的开头添加以下逻辑：

<#-- 当检测到身份提供商访问拒绝错误时，重定向回客户端 -->
<#if messageKey == "identityProviderAccessDenied">
    <#assign redirectUri = authenticationSession.clientNotes['redirect_uri']>
    <#assign errorCode = "access_denied">
    <#assign errorMsg = message>
    <script type="text/javascript">
        const redirectUrl = new URL("${redirectUri}");
        redirectUrl.searchParams.set("error", "${errorCode}");
        redirectUrl.searchParams.set("error_description", encodeURIComponent("${errorMsg}"));
        window.location.replace(redirectUrl.toString());
    </script>
</#if>

3. 在Keycloak管理控制台的领域设置 > 主题中，将登录主题设置为你修改后的自定义主题，保存后重启Keycloak。

方案二：扩展Keycloak身份提供商（更健壮的开发方案） #

通过自定义OIDC身份提供商类，重写错误处理逻辑，直接将错误参数传递回客户端：

1. 创建Java类继承Keycloak的OIDCIdentityProvider，重写handleErrorResponse方法：

import org.keycloak.broker.oidc.OIDCIdentityProvider;
import org.keycloak.broker.oidc.OIDCIdentityProviderModel;
import org.keycloak.broker.oidc.OIDCLoginProtocol;
import org.keycloak.events.EventBuilder;
import org.keycloak.models.KeycloakSession;
import javax.ws.rs.core.UriBuilder;

public class CustomOktaOIDCProvider extends OIDCIdentityProvider {

    public CustomOktaOIDCProvider(OIDCIdentityProviderModel model, KeycloakSession session) {
        super(model, session);
    }

    @Override
    protected void handleErrorResponse(OIDCLoginProtocol protocol, EventBuilder event) {
        // 获取客户端预定义的重定向URI
        String redirectUri = session.getContext()
                .getAuthenticationSession()
                .getClientNote(OIDCLoginProtocol.REDIRECT_URI_PARAM);
        
        // 获取Okta返回的错误信息
        String error = protocol.getError();
        String errorDesc = protocol.getErrorDescription();
        
        // 构建符合OAuth2规范的重定向URL
        UriBuilder redirectBuilder = UriBuilder.fromUri(redirectUri)
                .queryParam("error", error != null ? error : "access_denied")
                .queryParam("error_description", errorDesc != null ? errorDesc : "Access denied by identity provider");
        
        // 直接重定向回Spring Boot客户端
        session.getContext().getHttpResponse().sendRedirect(redirectBuilder.build().toString());
    }
}

2. 将该类打包成JAR文件，部署到Keycloak的providers目录下，执行kc.sh build（Windows下为kc.bat build）后重启Keycloak。
3. 在Keycloak管理控制台中，删除原有的Okta身份提供商，新建一个OIDC提供商，选择自定义的CustomOktaOIDCProvider作为提供商类型（需提前在SPI中注册该类）。

注意事项 #

• 确保Spring Boot客户端的重定向URI已在Keycloak客户端配置的Valid Redirect URIs中添加，避免重定向被拦截。
• 方案一的主题修改方式无需开发，适合快速验证；方案二的扩展方式更灵活，可处理更多自定义错误场景。
• 传递的error和error_description参数符合OAuth2.0规范，Spring Boot OAuth客户端会自动识别并处理这些错误信息。

内容的提问来源于stack exchange，提问作者stevepra