Nginx反向代理Keycloak无法跳转至登录页问题求助

问题根源 #

Keycloak未正确识别反向代理后的外部访问地址，导致生成的接口URL附带了内部端口8081，外部请求无法访问该端口，最终造成Admin UI加载停滞。

修复步骤 #

1. 调整Keycloak环境变量配置 #

需明确指定外部访问的主机名与端口，修正Keycloak生成URL的逻辑：

environment:
    ...
    - KC_HTTP_ENABLED=true
    - KC_PROXY=edge
    - KC_PROXY_HEADERS=forwarded|xforwarded
    - KC_HOSTNAME=auth.mydomain.com  # 指定外部访问的域名
    - KC_HOSTNAME_PORT=443           # 指定外部HTTPS访问端口
    - KC_HOSTNAME_STRICT=false
    - KC_HOSTNAME_STRICT_HTTPS=true  # 开启HTTPS严格模式，匹配外部访问协议
    ...

• KC_HOSTNAME：告知Keycloak外部用户实际访问的域名，确保生成的URL使用该域名而非内部地址
• KC_HOSTNAME_PORT：明确外部访问端口为443，避免生成带8081的错误URL
• KC_HOSTNAME_STRICT_HTTPS：开启后Keycloak默认使用HTTPS生成外部URL，适配你的访问场景

2. 微调Nginx配置（可选） #

当前Nginx配置基本可用，可将Host头传递规则优化，避免端口信息干扰：
将原配置中的proxy_set_header Host $http_host;替换为：

proxy_set_header Host $host;

$host仅提取域名部分，不会包含客户端可能传递的端口，进一步确保Keycloak获取正确的主机信息。

3. 重启容器生效 #

修改配置后，重启Keycloak和Nginx容器：

# 重启Keycloak容器
docker restart <你的Keycloak容器名>
# 重启Nginx容器
docker restart <你的Nginx容器名>

验证 #

重新访问https://auth.mydomain.com，点击「Administration console」，观察网络请求，此时step1.html的URL应变为https://auth.mydomain.com/realms/master/protocol/openid-connect/3p-cookies/step1.html，Admin UI即可正常加载。

内容的提问来源于stack exchange，提问作者werwuifi