配置GeoServer Keycloak插件分配角色时遇308错误及无角色问题

问题根源 #

Issue retrieving access token: HTTP/1.1 308 Permanent Redirect 错误的核心是GeoServer请求Keycloak令牌端点的URL不符合服务端要求，被强制重定向，导致令牌获取失败，进而无法解析分配给用户的角色。

修复步骤 #

• 修正端点协议：确保GeoServer配置的OIDC相关端点（令牌端点、用户信息端点等）全部使用HTTPS协议。多数Keycloak实例默认强制HTTPS访问，HTTP请求会被直接308重定向到HTTPS地址，而GeoServer插件默认不处理这类跳转。
• 核对端点路径完整性：确认令牌端点路径完整，格式应为https://你的Keycloak域名/realms/目标领域名/protocol/openid-connect/token，避免遗漏/realms/xxx或末尾的路径后缀，路径错误会触发无效跳转。
• 临时关闭HTTPS强制（仅测试环境）：若为测试场景，可在Keycloak的领域设置中，将“SSL Requirement”选项改为“None”，绕过HTTPS强制验证后再测试令牌获取。生产环境务必保持HTTPS强制开启。
• 开启GeoServer重定向跟随：部分版本的GeoServer OIDC插件默认不跟随重定向，可在OIDC配置项中查找“Follow Redirects”类开关并启用，让GeoServer自动处理308跳转请求。
• 校验角色映射配置：令牌获取正常后，需确认Keycloak已为目标用户分配对应GeoServer客户端的角色，同时在GeoServer的Keycloak角色服务配置中，正确设置角色前缀（如ROLE_），并按需开启“使用领域角色”或“使用客户端角色”选项，确保令牌中的角色能被GeoServer正确解析。

验证方法 #

修复后，可通过curl命令手动请求Keycloak令牌端点，确认返回的令牌中包含realm_access或resource_access字段及对应角色，再登录GeoServer检查角色是否正常分配。

内容的提问来源于stack exchange，提问作者Steve Nadraus