本地Docker Desktop K8S集群Keycloak重定向保持localhost方案咨询

一、通过Spring API Gateway的application.yml配置解决 #

问题根源在于当前配置中，Keycloak的issuer-uri使用了K8S内部服务域名keycloak:8005，Keycloak会基于该域名生成重定向地址，而本地浏览器无法解析这个内部域名。

解决方案是区分外部重定向地址和内部服务调用地址：外部重定向用localhost:8005（浏览器可解析），内部服务间调用仍用K8S内部域名keycloak:8005（容器可访问）。修改后的配置如下：

server:
  port: 8000

spring:
  application:
    name: api-gateway
  security:
    oauth2:
      client:
        provider:
          keycloak:
            # 外部授权地址用localhost，供浏览器跳转
            authorization-uri: http://localhost:8005/auth/realms/myapp/protocol/openid-connect/auth
            # 内部token、用户信息等调用用K8S内部域名
            token-uri: http://keycloak:8005/auth/realms/myapp/protocol/openid-connect/token
            user-info-uri: http://keycloak:8005/auth/realms/myapp/protocol/openid-connect/userinfo
            jwk-set-uri: http://keycloak:8005/auth/realms/myapp/protocol/openid-connect/certs
            user-name-attribute: preferred_username
        registration:
          keycloak:
            provider: keycloak
            client-id: my-client
            client-secret: *****
            scope:
              - email
              - profile
              - roles
            # 指定回调地址为API GW的localhost路径
            redirect-uri: "{baseUrl}/login/oauth2/code/keycloak"

eureka:
  client:
    service-url:
      defaultZone: http://service-discovery:8001/eureka
  instance:
    hostname: ${spring.application.name}

二、通过Kubernetes配置解决 #

方式1：配置Keycloak前端URL #

通过设置Keycloak的环境变量，强制其返回localhost作为前端地址，API GW原有配置无需大幅修改：

1. 修改Keycloak的Deployment，添加环境变量：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: keycloak
spec:
  template:
    spec:
      containers:
        - name: keycloak
          env:
            - name: KEYCLOAK_FRONTEND_URL
              value: "http://localhost:8005/auth/realms/myapp"
            # 保留其他原有环境变量

2. 确保Keycloak的Service已暴露端口到localhost:8005（Docker Desktop的LoadBalancer类型Service会自动完成映射）。

此方案下，API GW仍用keycloak:8005作为内部调用地址，而Keycloak返回给用户的重定向地址会是localhost:8005。

方式2：配置Kubernetes Ingress（推荐生产环境） #

通过Ingress统一管理外部访问路径，将localhost下的不同路径转发到对应服务：

1. 部署Ingress Controller（Docker Desktop默认已内置Nginx Ingress）。
2. 创建Ingress资源：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: myapp-ingress
  annotations:
    nginx.ingress.kubernetes.io/ssl-redirect: "false"
spec:
  rules:
    - host: localhost
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: api-gw
                port:
                  number: 8000
          - path: /auth
            pathType: Prefix
            backend:
              service:
                name: keycloak
                port:
                  number: 8005

3. 修改API GW的application.yml，将Keycloak的issuer-uri改为http://localhost/auth/realms/myapp，重定向地址会自动使用localhost。

内容的提问来源于stack exchange，提问作者Shay Zambrovski