如何通过Spring Boot微服务+Keycloak实现前端跳转至SSO登录表单？

完全可以实现你的需求，核心是通过Spring Boot微服务触发Keycloak的SSO重定向流程，同时让Keycloak直接导向目标SSO提供商，无需经过Keycloak自带登录表单。以下是具体实现步骤：

1. 配置Keycloak Realm跳过自身表单，直接指向SSO提供商 #

• 登录Keycloak后台，进入目标Realm的身份提供者页面，添加并配置你的SSO提供商（如OAuth2/OIDC类型的第三方登录）。
• 将该SSO提供商设置为Realm的默认身份提供者，同时在Realm的登录设置中，禁用"用户名密码表单"等Keycloak自带的登录选项。这样Keycloak收到认证请求时，会直接重定向到SSO提供商的登录页面。

2. 调整Spring Boot微服务的认证触发逻辑 #

• 前端只需发起一次认证请求（比如GET /api/auth/start），微服务无需返回令牌，而是直接生成Keycloak的授权跳转URL并返回重定向响应，浏览器会自动跳转到SSO提供商的登录页。
• 示例Spring Boot控制器代码：

  @GetMapping("/api/auth/start")
  public ResponseEntity<Void> startAuthentication(HttpServletRequest request) {
      // 借助Spring Security Keycloak客户端生成授权跳转地址
      OAuth2AuthorizationRequest authRequest = keycloakAuthRequestResolver.resolve(request);
      return ResponseEntity.status(HttpStatus.FOUND)
              .location(URI.create(authRequest.getRedirectUri()))
              .build();
  }
  

3. 处理SSO回调与令牌返回前端 #

• 用户在SSO提供商完成登录后，会先重定向回Keycloak的回调端点，Keycloak验证后生成令牌，再重定向到你配置的微服务回调地址（比如/api/auth/callback）。
• 微服务在回调端点接收Keycloak的授权码，调用Keycloak接口交换得到访问令牌/ID令牌，然后将令牌通过HttpOnly Secure Cookie（推荐，防XSS）或URL参数，重定向回前端的指定页面（比如/frontend/login-success）。

4. 前端的单次请求流程 #

前端仅需触发一次/api/auth/start请求，后续所有跳转（微服务→Keycloak→SSO提供商→Keycloak→微服务→前端）都由浏览器自动处理，最终前端会在目标页面拿到令牌，全程无需直接调用Keycloak的API。

注意事项 #

• 确保Keycloak客户端的有效重定向URI包含微服务的回调地址，SSO提供商的回调地址指向Keycloak的身份提供者回调端点。
• 令牌传递优先使用HttpOnly Cookie，避免前端直接操作令牌带来的安全风险。
• 若前端与微服务跨域，需配置CORS允许重定向相关的请求头，或确保两者同域部署。

内容的提问来源于stack exchange，提问作者pickstar