配置docker-compose后Keycloak管理控制台仍提示用户名密码错误

从你的日志和配置来看，用户已成功添加到master realm，但登录时触发user_not_found错误，且HTTP环境下正常、HTTPS环境下异常，核心问题出在代理头传递不规范和Keycloak的HTTPS相关环境变量配置冲突，以下是针对性解决方案：

1. 修正Keycloak环境变量配置 #

当前配置存在多个HTTPS相关变量的冲突，调整如下：

• 确保KC_HOSTNAME_URL和KC_HOSTNAME_ADMIN_URL使用完整HTTPS格式（如https://some-url）
• 将KC_HOSTNAME_STRICT_BACKCHANNEL设为"false"：Keycloak内部与Nginx通信为HTTP，无需强制后端HTTPS
• 移除KEYCLOAK_FRONTEND_URL：新版本Keycloak推荐用KC_HOSTNAME系列变量，避免配置冲突
• 保留KC_PROXY=edge：告知Keycloak信任反向代理传递的X-Forwarded-*头

修改后的keycloak环境变量片段：

environment:
  KC_DB: postgres
  KC_DB_URL_HOST: postgres
  KC_DB_URL_DATABASE: keycloak
  KC_DB_PASSWORD: password
  KC_DB_USERNAME: postgres_user
  KC_DB_SCHEMA: public
  KC_PROXY: edge
  KEYCLOAK_ADMIN: admin
  KEYCLOAK_ADMIN_PASSWORD: admin
  KC_HOSTNAME_STRICT_HTTPS: "true"
  KC_HOSTNAME_STRICT_BACKCHANNEL: "false"
  KC_HOSTNAME: some-url
  KC_HOSTNAME_URL: "https://some-url"
  KC_HOSTNAME_ADMIN_URL: "https://some-url"

2. 修复Nginx代理头配置 #

当前Nginx配置存在两个致命问题：

• 强制设置content-type "application/json"会覆盖登录表单的multipart/form-data请求头，导致Keycloak无法解析登录参数
• Host头传递可能不准确，需确保传递外部真实域名

修改后的nginx.conf：

events {}
http {
server {
listen 80;
server_name some-url;

location / {
 proxy_http_version 1.1;
 proxy_set_header Upgrade $http_upgrade;
 proxy_set_header Connection "upgrade";
 proxy_set_header Host $http_host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
    
 proxy_buffer_size 128k;
 proxy_buffers 4 256k;
 proxy_busy_buffers_size 256k;
    
 proxy_pass http://keycloak:8080;
 proxy_read_timeout 300s;
 proxy_connect_timeout 300s;
 proxy_send_timeout 300s;   
}
}
}

3. 彻底清理旧数据残留 #

若之前的容器销毁未清理数据库卷，可能存在旧用户数据冲突：

# 停止并删除容器、卷（包括Postgres数据库数据）
docker-compose down -v
# 重新构建并启动服务
docker-compose up --build

验证步骤 #

1. 启动后查看Keycloak日志，确认输出KC-SERVICES0009: Added user 'admin' to realm 'master'
2. 访问https://some-url/admin，使用admin/admin登录
3. 检查日志，确认无LOGIN_ERROR类警告

内容的提问来源于stack exchange，提问作者Taylan Rojen Doger