修改Keycloak Cookie域名以支持父域的方法咨询

针对你的场景，要让www.example.com能访问Keycloak在auth.example.com设置的Cookie，核心是调整Cookie的Domain和Path参数，以下是具体配置步骤：

一、修改Cookie的Domain为父域 #

当前Cookie的Domain设为auth.example.com，仅允许该子域访问。要开放给同根域的www.example.com，需将Domain改为父域：

• 登录Keycloak管理控制台，进入目标Realm（my-realm）
• 左侧导航选择Realm Settings，切换到Tokens标签页
• 在Cookie Domain字段中填入.example.com（带前缀点可兼容旧浏览器，现代浏览器也支持直接填example.com）
• 点击保存

二、调整Cookie的Path为根路径 #

你怀疑Path是问题点完全正确，当前Path/realms/my-realm/限制了仅该路径下的请求能携带Cookie。要让整个域名下的应用都能访问，需修改Path：

• 同样在Realm Settings的Tokens标签页
• 找到Cookie Path字段，填入/
• 保存更改

三、关键注意事项 #

• 确保所有涉及的域名（auth.example.com、www.example.com）都启用HTTPS：现代浏览器对跨子域Cookie的安全性要求较高，HTTP环境下可能无法正常生效
• 检查SameSite属性：若为跨站场景，建议将Cookie SameSite设置为None（需配合HTTPS），若为同站场景设置为Lax即可，该选项同样在Tokens标签页
• 生效验证：修改配置后，让用户清除浏览器旧Cookie或重新登录，查看新Cookie的Domain和Path是否符合预期
• 反向代理适配：如果Keycloak前端有反向代理，需确保代理未篡改Cookie的Domain、Path等参数，避免配置失效

内容的提问来源于stack exchange，提问作者N Fard