Spring Boot3多租户Keycloak结合外部SSO获取Token技术问询

一、第三步跳转Keycloak的链接构造规则 #

你当前的基础链接格式方向正确，但redirect_uri的取值和细节需要调整：

• redirect_uri必须填写你的BFF服务的回调端点URL，不能填前端URL或外部SSO端点。原因如下：
  1. Keycloak要求该地址必须是对应客户端（你的BFF/Auth服务在Keycloak中注册的客户端）已配置的有效回调地址，否则会直接拦截报错；
  2. 外部SSO验证完成后，会先将授权码返回给Keycloak，Keycloak再把授权码转发到这个redirect_uri，你的服务才能拿到授权码去兑换Token。

调整后的完整链接格式：

{keycloakUrl}/realms/{realmName}/protocol/openid-connect/auth?client_id={clientId}&redirect_uri={BFF回调端点URL}&response_type=code&scope=openid&kc_idp_hint={外部IDP别名}&prompt=none

额外添加prompt=none参数的作用是强制绕过Keycloak自带的登录表单，直接触发跳转到kc_idp_hint指定的外部IDP，完全匹配你跳过Keycloak表单的需求。

二、Token返回的完整适配流程 #

1. 前端调用BFF传入登录名，BFF调用Auth服务确定用户所属Realm及外部IDP别名；
2. Auth服务生成上述调整后的Keycloak跳转链接，返回给BFF，由BFF重定向前端到该链接；
3. Keycloak收到请求后，直接跳转到外部IDP的登录页面（prompt=none+kc_idp_hint共同生效）；
4. 用户在外部IDP完成验证后，外部IDP将授权码返回给Keycloak；
5. Keycloak把授权码转发到你指定的redirect_uri（即BFF的回调端点）；
6. BFF收到授权码后，调用Keycloak的Token端点（{keycloakUrl}/realms/{realmName}/protocol/openid-connect/token），携带client_id、client_secret（保密客户端需传）、code（授权码）、redirect_uri（与跳转时一致）、grant_type=authorization_code这些参数，兑换Keycloak签发的JWT Token；
7. BFF携带JWT Token重定向回原前端页面（可将Token放在URL参数或Cookie中，根据前端授权逻辑选择）。

三、关键配置注意事项 #

• 确保Keycloak客户端的Valid Redirect URIs列表中已添加BFF的回调端点URL，否则Keycloak会拒绝跳转请求；
• 外部IDP在Keycloak中的配置需开启Force Authentication，避免Keycloak使用已有会话跳过外部IDP验证；
• 兑换Token时，redirect_uri必须和跳转时填写的完全一致，否则Keycloak会拒绝兑换请求。

内容的提问来源于stack exchange，提问作者pickstar