Vaadin心跳引发Wildfly Elytron中Keycloak登录后OIDC状态不匹配

针对你遇到的Vaadin心跳请求覆盖OIDC state参数，最终引发Bad Request错误的问题，可通过以下几种方案解决：

方案一：调整Wildfly Elytron OIDC拦截优先级（推荐） #

确保Wildfly的OIDC认证拦截在Vaadin Servlet处理之前执行，这样未认证请求会直接被重定向至Keycloak，完全不会触发Vaadin的心跳逻辑。

1. 编辑Wildfly的配置文件（standalone.xml/domain.xml），将OIDC的http-authentication-factory绑定到HTTP监听器的认证工厂：

<http-authentication-factory name="oidc-http-auth" security-domain="KeycloakDomain" http-server-mechanism-factory="elytron-oidc">
    <mechanism-configuration>
        <mechanism name="OIDC">
            <mechanism-realm name="KeycloakRealm"/>
        </mechanism>
    </mechanism-configuration>
</http-authentication-factory>

<server name="default-server">
    <http-listener name="default" socket-binding="http" redirect-socket="https" authentication-factory="oidc-http-auth"/>
    <!-- 保留其他原有配置 -->
</server>

2. 确认Vaadin Servlet未配置绕过认证的规则，确保所有请求先经过OIDC拦截。

方案二：在Vaadin服务端拦截未认证的心跳请求 #

通过自定义VaadinServiceInitListener，拦截未认证用户的心跳请求，避免其覆盖state参数：

1. 创建监听器类：

import com.vaadin.flow.server.ServiceInitEvent;
import com.vaadin.flow.server.VaadinServiceInitListener;
import jakarta.servlet.http.HttpServletRequest;

public class UnauthenticatedHeartbeatBlocker implements VaadinServiceInitListener {

    @Override
    public void serviceInit(ServiceInitEvent event) {
        event.getSource().addRequestHandler((session, request, response) -> {
            HttpServletRequest servletRequest = (HttpServletRequest) request;
            // 判断用户是否已认证（Wildfly Elytron会自动维护认证状态）
            if (servletRequest.getUserPrincipal() == null && "/heartbeat".equals(request.getPathInfo())) {
                // 拦截心跳请求，返回204无内容，避免触发Vaadin的心跳逻辑
                response.setStatus(204);
                return true;
            }
            return false;
        });
    }
}

2. 在src/main/resources/META-INF/services/com.vaadin.flow.server.VaadinServiceInitListener文件中添加类的全限定名，例如：

com.yourpackage.UnauthenticatedHeartbeatBlocker

方案三：前端禁用心跳直到认证完成 #

修改Vaadin前端初始化逻辑，先禁用心跳，待用户认证完成后再恢复：

编辑frontend/index.html，调整Vaadin初始化配置：

<script>
  window.Vaadin.initApplication('frontend://index.ts', {
    heartbeatInterval: 0 // 初始禁用心跳
  }).then(app => {
    // 通过Cookie判断是否已完成Keycloak认证（根据实际Cookie名称调整）
    if (document.cookie.includes('KEYCLOAK_SESSION')) {
      // 恢复默认心跳间隔（300秒/5分钟）
      app.heartbeatInterval = 300;
    }
  });
</script>

方案四：限制未认证用户的访问路径 #

使用Vaadin的权限注解，仅允许未认证用户访问必要的登录相关路径，确保心跳路径（默认/heartbeat）需认证才能访问：

• 对所有业务路由添加@PermitAll或@RolesAllowed注解，仅登录页面（若有）添加@AnonymousAllowed。
• 这样未认证用户无法触发心跳请求，自然不会覆盖state参数。

内容的提问来源于stack exchange，提问作者Somogyi Botond