Keycloak OIDC登录遇expired_code及504超时，如何延长处理时间？

核心问题是外部OIDC身份提供商处理请求耗时过长，超过了Keycloak默认的授权代码有效期，同时前端代理的超时限制又触发了504错误，以下是具体解决步骤：

1. 调整Keycloak内部关键超时参数 #

• 延长授权代码有效期：登录Keycloak管理控制台，进入对应领域的Realm Settings → Tokens，找到Authorization Code Lifespan（授权码有效期），默认通常为60秒，改成300秒（5分钟）或更长，匹配你的IDP实际处理时长。
• 调整会话超时：在Realm Settings → Sessions里，调大User Session Lifespan和Idle Session Timeout，防止用户会话在IDP处理期间过期。
• IDP请求超时配置（Quarkus版本Keycloak）：如果是Keycloak 17及以上版本，启动时添加以下参数，直接延长对OIDC身份提供商的连接和读取超时：

  bin/kc.sh start --spi-oidc-login-connect-timeout=300000 --spi-oidc-login-read-timeout=300000
  

  数值单位是毫秒，300000即5分钟，可按需调整。

2. 修复反向代理/网关的504超时 #

504错误一般是前端代理（Nginx、Apache等）等待Keycloak响应超时导致的，需要修改代理的超时设置：

• Nginx：在对应location配置块中添加：

  proxy_connect_timeout 300s;
  proxy_send_timeout 300s;
  proxy_read_timeout 300s;
  

• Apache：在虚拟主机配置或httpd.conf中添加：

  ProxyTimeout 300
  

3. 优化UserInfo请求（若需重新启用） #

之前禁用UserInfo后expired_code消失，但出现504，说明UserInfo请求也是耗时环节。如果必须启用UserInfo：

• 联系IDP方优化UserInfo接口响应速度；
• 在Keycloak的OIDC身份提供商设置里，开启Use JWT from response（如果IDP在Token响应中附带用户信息），这样就不用额外调用UserInfo接口；
• 单独调整UserInfo请求的超时（Quarkus版本）：

  bin/kc.sh start --spi-oidc-user-info-connect-timeout=300000 --spi-oidc-user-info-read-timeout=300000
  

4. 验证效果 #

修改完成后重新测试登录，观察日志是否还会出现expired_code错误。如果问题依旧，确认：

• 所有超时参数是否正确生效；
• IDP的实际处理时长是否仍超过设置的超时值；
• Keycloak服务器的CPU、内存资源是否充足，避免自身处理延迟。

内容的提问来源于stack exchange，提问作者FSnikers