基于Keycloak的Spring Boot认证出现过多重定向问题排查

输入正确账号密码后出现"Too many redirects"的核心原因是认证流程中回调环节或权限配置冲突，导致应用与Keycloak之间反复跳转。以下从Spring Security配置、Keycloak配置两方面给出具体排查和解决方法：

一、Spring Security 侧调整 #

1. 确保回调路径被放行 #

Spring Security默认的OAuth2回调路径是/login/oauth2/code/*，如果该路径被误加入受保护规则，会导致回调请求再次触发认证，形成循环。修改SecurityFilterChain配置，明确放行回调路径：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/login/oauth2/code/*").permitAll() // 必须放行回调路径
            .anyRequest().authenticated()
        )
        .oauth2Login(oauth2 -> oauth2
            .redirectionEndpoint(redir -> redir
                .baseUri("/login/oauth2/code/*") // 明确回调基地址，与Keycloak配置对齐
            )
        );
    return http.build();
}

同时检查application.properties中的回调URI配置是否正确：

spring.security.oauth2.client.registration.keycloak.redirect-uri={baseUrl}/login/oauth2/code/keycloak

{baseUrl}会自动替换为应用根地址，确保该地址在Keycloak的Valid Redirect URIs列表中。

2. 排查Session与Cookie配置 #

如果Cookie的SameSite模式过严或Session创建策略错误，会导致认证会话无法正常持久化。临时调整配置测试：

http
    .sessionManagement(session -> session
        .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
    )
    .csrf(csrf -> csrf.disable()) // 临时关闭CSRF排除干扰
    .oauth2Login(...);

3. 分析调试日志重点 #

从Spring Security调试日志中关注以下内容：

• 重定向流程：是否反复在http://localhost:9200/fizzes/home、Keycloak登录页、回调路径之间跳转
• 回调请求处理：回调路径的请求是否返回200状态码，还是再次触发3xx重定向
• 认证后跳转：登录成功后跳转的/fizzes/home是否被正确授权，是否又触发了认证逻辑

二、Keycloak 侧配置检查 #

1. 验证Valid Redirect URIs #

确保Keycloak客户端的Valid Redirect URIs包含应用的回调地址，比如：

• 精确匹配：http://localhost:9200/login/oauth2/code/keycloak
• 模糊匹配：http://localhost:9200/*（适合开发环境）
  如果URI不匹配，Keycloak会拒绝回调请求，应用会重新发起认证，形成循环。

2. 确认客户端Flow配置 #

• 客户端的Access Type设置为public（单页/前端应用）或confidential（后端服务）
• 确保Standard Flow Enabled处于开启状态（授权码模式的必要条件）

3. Session Cookie 跨域配置 #

如果应用与Keycloak不在同一域名下，检查Keycloak领域的Session配置：

• Cookie的Domain设置为双方共同的父域
• SameSite模式设置为Lax或None（使用None需配合HTTPS）

三、其他排查点 #

• 应用上下文路径：如果配置了server.servlet.context-path=/fizzes，需确保Keycloak的Valid Redirect URIs包含该路径，比如http://localhost:9200/fizzes/login/oauth2/code/keycloak
• 时间同步：应用服务器与Keycloak容器的系统时间必须一致，否则JWT令牌的有效期校验会失败，导致认证反复发起

内容的提问来源于stack exchange，提问作者hotmeatballsoup