.NetCore 8.0 MVC集成Keycloak OIDC时授权端点重定向失败

问题描述 #

尝试在.NET Core 8.0 MVC应用中基于Keycloak实现OIDC认证，触发认证挑战时持续收到错误：

无法重定向到授权端点，配置可能缺失或无效。

现有配置（Program.cs） #

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
    .AddCookie()
    .AddOpenIdConnect(options =>
    {
        options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.Authority = "https://mykeycloak.com/auth/realms/myrealm";
        options.ClientId = "my-app-clientid"; //public client so no secret needed
        //options.ClientSecret = "";
        options.CallbackPath = "/auth";
        options.RequireHttpsMetadata = true;
        options.MetadataAddress = "https://mykeycloak.com/auth/realms/myrealm/.well-known/openid-configuration";
        options.SaveTokens = true;
        options.GetClaimsFromUserInfoEndpoint = true;
        options.ResponseType = OpenIdConnectResponseType.Code;
    });

已验证信息 #

• 直接在浏览器访问MetadataAddress对应的URL，能正常获取Keycloak的OIDC配置，其中包含authorization_endpoint字段
• 手动拼接授权端点URL并添加必要参数，能正常显示Keycloak登录页面

疑问：OpenIdConnectHandler似乎无法读取或解析配置，配置是否存在问题？对接Keycloak是否有特殊要求？

解决方案排查 #

1. 移除冗余的MetadataAddress配置 #

当设置Authority后，ASP.NET Core会自动拼接出正确的Metadata地址（{Authority}/.well-known/openid-configuration），手动指定MetadataAddress可能引发路径冲突（比如新版本Keycloak路径为/realms而非/auth/realms）。先注释掉options.MetadataAddress这一行，让框架自动推导配置地址。

2. 检查Keycloak客户端配置 #

• 确认Keycloak客户端的Access Type设置为public（你未配置ClientSecret，需匹配此类型）
• 验证Valid Redirect URIs包含应用回调地址，比如https://yourapp.com/auth，需和CallbackPath完全匹配，包括协议、域名和路径
• 确保Web Origins配置正确，允许应用域名跨域访问

3. 调整CallbackPath配置 #

CallbackPath为相对路径，虽然支持自定义，但需确保：

• 路径未被其他路由拦截
• Keycloak的Valid Redirect URIs中准确配置该路径

4. 启用日志定位问题 #

在Program.cs中添加详细日志，查看OpenIdConnectHandler的具体错误细节：

builder.Logging.AddFilter("Microsoft.AspNetCore.Authentication", LogLevel.Debug);
builder.Logging.AddConsole();

运行应用后，控制台会输出配置加载、端点解析的完整流程，可精准定位解析失败原因。

5. 确认HTTPS环境配置 #

OIDC流程对HTTPS有严格要求，需确保应用运行在HTTPS环境下（本地开发需配置HTTPS证书），非HTTPS环境可能导致配置加载失败。

内容的提问来源于stack exchange，提问作者RHarris