Pac4j+CORS允许源不匹配：Javalin受保护路由跨域问题排查

核心问题根源 #

受Pac4j保护的路由在处理跨域请求时，OPTIONS预检请求被安全拦截器提前阻断，导致CORS验证失败；GET请求的NS_ERROR_DOM_BAD_URI错误也源于跨域配置未与Pac4j安全机制兼容。未受保护路由正常是因为它们跳过了Pac4j校验，Javalin自带的CORS处理可正常生效。

具体修复方案 #

1. 优先配置Javalin全局CORS #

确保Javalin的CORS规则先于Pac4j安全处理器执行，避免预检请求被提前拦截：

// 先配置全局CORS规则
app.config.enableCors { cors ->
    cors.addRule { rule ->
        rule.allowHost(properties.get(FRONT_URL))
        rule.allowMethods("GET", "POST", "OPTIONS")
        rule.allowHeaders("Authorization", "Content-Type")
        rule.exposeHeaders("Authorization")
    }
}

// 再绑定Pac4j安全处理器
val securityHandler: SecurityHandler = SecurityHandler(authenticationConfig, "KeycloakOidcClient")
app.before("/protected", securityHandler)

2. 正确配置Pac4j的CorsMatcher #

你的CorsMatcher配置存在两处问题：未明确允许OPTIONS方法及必要请求头，且未绑定到安全规则放行预检请求。修改认证配置如下：

fun setUpAuthentication(properties: Properties): AuthenticationConfig {
    val oidcConfig: KeycloakOidcConfiguration = KeycloakOidcConfiguration()
    oidcConfig.setClientId(properties.get(KEYCLOAK_ID))
    oidcConfig.setSecret(properties.get(KEYCLOAK_SECRET))
    oidcConfig.setDiscoveryURI(properties.get(KEYCLOAK_DISC_URI))
    oidcConfig.setBaseUri(properties.get(KEYCLOAK_BASE_URI))
    oidcConfig.setRealm(properties.get(KEYCLOAK_REALM))
    oidcConfig.setClientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)

    val keyCloakClient = KeycloakOidcClient(oidcConfig)
    val clients = Clients(properties.get(API_BASE_URL)+"/callback", keyCloakClient)
    val config = AuthenticationConfig(clients)
    
    // 配置CorsMatcher，明确允许的Origin、方法和请求头
    val corsMatcher = CorsMatcher()
    corsMatcher.setAllowOrigin(properties.get(FRONT_URL))
    corsMatcher.setAllowMethods("GET", "POST", "OPTIONS")
    corsMatcher.setAllowHeaders("Authorization", "Content-Type")
    config.addMatcher("cors", corsMatcher)
    
    // 添加安全规则：对CORS预检请求放行，无需认证
    config.addSecurityRule(SecurityRule()
        .matchers("cors")
        .permitAll())
    
    config.addAuthorizer("csfr", CsrfAuthorizer())
    return config
}

3. 优化安全处理器绑定方式（可选） #

改用Pac4j原生的路由保护方式，更贴合其安全机制，自动处理预检请求：

// 替换原有的app.before("/protected", securityHandler)
app.get("/protected", securityHandler) { ctx ->
    ctx.result("Hello Keycloak protected!")
}

关键注意事项 #

• Keycloak客户端的「Web Origins」需与前端实际URL完全匹配（开发环境临时测试可使用*，生产环境禁用）
• 确保FRONT_URL、API_BASE_URL等配置项无多余斜杠或空格，避免Origin匹配失败
• NS_ERROR_DOM_BAD_URI是浏览器拦截跨域请求的表现，解决CORS问题后该错误会自动消失

内容的提问来源于stack exchange，提问作者edelagnier