Quarkus+Keycloak OIDC授权流：Ajax重复认证与CORS问题排查

你的核心问题是Quarkus OIDC授权码流的会话状态维护问题，默认情况下Quarkus会自动处理会话Cookie，不需要手动存储访问令牌，以下是具体排查和配置要点：

1. 确认Quarkus OIDC会话配置 #

Quarkus OIDC授权码流默认启用服务器端会话，令牌交换后会生成quarkus-oidc-session-id Cookie存在客户端，后续请求通过该Cookie识别认证状态，无需重复走授权流程。

• 检查application.properties中是否有如下配置（默认值为true，若手动修改会导致会话失效）：

  quarkus.oidc.authentication.session-enabled=true
  

• 调整Cookie属性适配部署环境：
  • 本地HTTP测试时，关闭Secure属性：

    quarkus.oidc.authentication.cookie.secure=false
    

  • 线上HTTPS环境下，开启Secure确保Cookie仅通过HTTPS传输：

    quarkus.oidc.authentication.cookie.secure=true
    

  • HttpOnly属性默认开启，防止XSS攻击，无需修改除非有特殊需求。

2. 修复HTMX跨域请求的CORS配置 #

后续Ajax请求触发重复认证并报CORS错误，大概率是CORS配置未允许携带凭证，导致浏览器无法发送会话Cookie：

• 在application.properties中添加完整的CORS配置：

  quarkus.http.cors=true
  quarkus.http.cors.origins=你的前端域名（例如http://localhost:8080）
  quarkus.http.cors.credentials=true
  quarkus.http.cors.methods=GET,POST,PUT,DELETE,OPTIONS
  quarkus.http.cors.headers=*
  

• 确认HTMX请求的withCredentials状态：HTMX默认会设置withCredentials=true，若手动修改过请求配置，需恢复该设置，确保跨域请求时浏览器发送Cookie。

3. 排查重复认证的具体原因 #

• 用浏览器开发者工具查看请求头：检查后续Ajax请求是否携带quarkus-oidc-session-id Cookie，若未携带，优先检查Cookie的Secure、Domain属性是否与当前环境匹配。
• 开启OIDC调试日志：添加日志配置后查看认证流程细节，确认后续请求是否被识别为已认证：

  quarkus.log.category."io.quarkus.oidc".level=DEBUG
  

4. 关于手动存储访问令牌的场景 #

只有当你明确启用无会话模式（quarkus.oidc.authentication.session-enabled=false）时，才需要手动处理访问令牌的存储（如存入localStorage或自定义Cookie），并在每次请求时通过Authorization: Bearer <token>头传递令牌。但对于HTMX这种服务端渲染为主的场景，默认的服务器端会话模式更简洁可靠，无需手动存储令牌。

内容的提问来源于stack exchange，提问作者NanoBreaker