基于授权码流集成Keycloak与Azure B2C遇阻求助

一、先修正Azure B2C端的客户端类型 #

你之前把Keycloak注册成了SPA应用，这会被Azure B2C判定为公开客户端，自然拒绝接收client_secret。正确操作是把Keycloak注册为机密客户端：

• 登录Azure B2C租户，进入「应用注册」新建应用
• 应用类型选「机密客户端（Web应用/API）」，不要选SPA或公共客户端选项
• 重定向URL填写Keycloak的身份提供商回调地址，格式为https://<你的Keycloak应用服务域名>/realms/<你的Realm名>/broker/<Azure B2C身份提供商名称>/endpoint——这个地址可以直接去Keycloak后台的Azure B2C身份提供商配置页复制
• 注册完成后生成客户端密钥（Client Secret），保存好这个密钥用于后续Keycloak配置

二、调整Keycloak的Azure B2C身份提供商配置 #

进入Keycloak后台，找到对应Realm下的Azure B2C身份提供商：

• 「客户端ID」填写刚在Azure B2C注册的机密客户端ID
• 「客户端密钥」填写生成的Azure B2C客户端密钥
• 重点检查「令牌端点认证方法」，设置为client_secret_basic或client_secret_post——这两种是机密客户端的标准认证方式，Azure B2C会接受client_secret
• 确认作用域包含openid、profile等必要的OIDC作用域，和SPA配置保持对应

三、SPA端配置的细节检查 #

你的oidc-client配置基本没问题，注意两点：

• scope中的https://myorgname.onmicrosoft.com/all/allApi，要确保Azure B2C已经给Keycloak的机密客户端授权了该API的访问权限
• 确认authority指向的Keycloak Realm地址完全正确，避免域名或Realm名称写错

替代方案：用隐式流快速跑通集成 #

如果授权码流暂时卡壳，可先用隐式流实现：

Azure B2C端调整 #

• 将Keycloak注册为SPA类型应用，重定向URL仍用Keycloak的回调地址

Keycloak端调整 #

• 在Azure B2C身份提供商配置中，把「响应类型」改为id_token token
• 无需填写客户端密钥，隐式流中公开客户端不需要发送client_secret

SPA端调整 #

• 将oidc-client的response_type改为id_token token，同时移除scope里的offline_access（隐式流不支持刷新令牌）

内容的提问来源于stack exchange，提问作者Dragonfly