Keycloak 22升级后WildFly管理控制台仅Bearer认证失败求助

环境背景 #

• 现有环境：WildFly 26的HAL管理控制台，通过Keycloak 16保护，使用Keycloak适配器（非WildFly原生OIDC适配器）
• 升级操作：将Keycloak从16版本升级至22版本
• 问题现象：管理接口请求返回401状态码，WildFly端日志显示认证未尝试（NOT_ATTEMPTED: bearer only）

WildFly端调试日志 #

DEBUG [org.keycloak.adapters.PreAuthActionsHandler] (management task-3) adminRequest http://localhost:9990/management
TRACE [org.keycloak.adapters.RequestAuthenticator] (management task-3) --> authenticate()
TRACE [org.keycloak.adapters.RequestAuthenticator] (management task-3) try bearer
DEBUG [org.keycloak.adapters.BearerTokenRequestAuthenticator] (management task-3) Authorization header not present
TRACE [org.keycloak.adapters.RequestAuthenticator] (management task-3) try query parameter auth
DEBUG [org.keycloak.adapters.QueryParameterTokenRequestAuthenticator] (management task-3) Token is not present in query
DEBUG [org.keycloak.adapters.RequestAuthenticator] (management task-3) NOT_ATTEMPTED: bearer only

已尝试的无效操作 #

已查阅客户端配置相关讨论并测试，但未解决问题：

• 查找Keycloak 22控制台中"bearer-only"客户端类型的替代配置方式
• 参考Keycloak用户组相关讨论调整客户端设置

解决思路 #

1. 适配Keycloak 22的客户端配置替代方案 #

Keycloak 22移除了"bearer-only"客户端类型，需将原bearer-only客户端改为以下配置：

• 将客户端的Access Type设置为confidential
• 禁用所有交互式认证流程：关闭"Standard Flow Enabled"、"Direct Access Grants Enabled"、"Implicit Flow Enabled"、"Authorization Code Flow Enabled"
• 在客户端的"Advanced"设置中，禁用所有非Bearer的认证流程覆盖，确保仅接受Bearer令牌验证

2. 同步升级Keycloak适配器版本 #

当前使用的旧版适配器仅适配Keycloak 16，需升级到与Keycloak 22兼容的版本：

• 下载匹配WildFly 26的Keycloak WildFly适配器（版本需与Keycloak 22对应）
• 重新安装适配器，并更新WildFly配置文件（如standalone.xml/domain.xml）中的Keycloak适配参数，确保客户端ID、密钥、认证服务器URL等与Keycloak 22的客户端配置一致

3. 检查HAL控制台的认证请求流程 #

HAL控制台可能未正确携带Bearer令牌，需排查：

• 启用HAL调试模式，检查前端请求的Authorization头是否包含有效Bearer令牌
• 确认WildFly管理层的Keycloak适配器配置已正确绑定到HAL控制台的上下文
• 验证WildFly管理安全域配置，确保Keycloak适配器成为管理接口的认证提供者

4. 验证Keycloak令牌的签发与验证逻辑 #

• 使用curl或Postman调用Keycloak 22的令牌端点获取Bearer令牌，直接测试访问WildFly管理接口，验证令牌有效性
• 检查Keycloak客户端的"Valid Redirect URIs"、"Web Origins"是否包含WildFly管理控制台的地址（http://localhost:9990/*等）
• 确认Keycloak 22的令牌签名算法与WildFly适配器配置的算法一致，避免因算法不兼容导致验证失败

内容的提问来源于stack exchange，提问作者Claudio Weiler