SvelteKitAuth集成Keycloak报错：响应不符合授权服务器元数据规范

我修改了NextAuth的SvelteKit示例项目，将认证提供商从Github替换为Keycloak，但尝试登录时出现如下错误：

[auth][error] OperationProcessingError: "response" is not a conform Authorization Server Metadata response
    at Module.processDiscoveryResponse (file:///Users/humberto/Downloads/next-auth-main/apps/examples/sveltekit/node_modules/oauth4webapi/build/index.js:215:15)
    at getAuthorizationUrl (file:///Users/humberto/Downloads/next-auth-main/apps/examples/sveltekit/node_modules/@auth/core/lib/actions/signin/authorization-url.js:19:28)
    at process.processTicksAndRejections (node:internal/process/task_queues:95:5)
    at async Module.signIn (file:///Users/humberto/Downloads/next-auth-main/apps/examples/sveltekit/node_modules/@auth/core/lib/actions/signin/index.js:10:56)
    at async AuthInternal (file:///Users/humberto/Downloads/next-auth-main/apps/examples/sveltekit/node_modules/@auth/core/lib/index.js:58:24)
    at async Proxy.Auth (file:///Users/humberto/Downloads/next-auth-main/apps/examples/sveltekit/node_modules/@auth/core/index.js:104:29)
    at async Module.respond (/node_modules/@sveltejs/kit/src/runtime/server/respond.js:282:20)
    at async file:///Users/humberto/Downloads/next-auth-main/apps/examples/sveltekit/node_modules/@sveltejs/kit/src/exports/vite/dev/index.js:510:22

当前配置 #

hooks.server.ts 文件 #

import { SvelteKitAuth } from "@auth/sveltekit"

import Keycloak from "@auth/core/providers/keycloak"
import { KEYCLOAK_URL, KEYCLOAK_REALM, KEYCLOAK_CLIENT_ID, KEYCLOAK_CLIENT_SECRET } from "$env/static/private"

const KEYCLOAK_ISSUER = `http://${KEYCLOAK_URL}/realms/${KEYCLOAK_REALM}`
// e.g., http://keycloak.local/realms/svelte

export const handle = SvelteKitAuth({
  providers: [Keycloak({ clientId: KEYCLOAK_CLIENT_ID, clientSecret: KEYCLOAK_CLIENT_SECRET, issuer: KEYCLOAK_ISSUER })],
})

.env 文件配置 #

KEYCLOAK_URL=keycloak.local
KEYCLOAK_REALM=svelte
KEYCLOAK_CLIENT_ID=demo
KEYCLOAK_CLIENT_SECRET=MiKsJyuLF8ZntC18uIqqMBZ529veebTr
AUTH_SECRET=5ea1a6bd5fad1eb1d9c4c5a79893d3f8

我本地运行了Keycloak实例，已创建名为svelte的领域、demo客户端，以及属于dev组的svelte用户。

问题根源及解决方案 #

这个错误本质是NextAuth无法从Keycloak获取符合OpenID Connect标准的授权服务器元数据，常见原因及修复方式如下：

• Keycloak 实例不可达
  执行命令curl http://keycloak.local/realms/svelte/.well-known/openid-configuration，检查是否能返回标准的JSON格式元数据。如果无法访问：

  • 确认Keycloak服务是否正常启动
  • 检查本地DNS解析（比如hosts文件是否配置了keycloak.local指向Keycloak所在IP）

• Issuer URL 协议或格式错误

  • 确认Keycloak实际使用的协议：如果Keycloak启用了HTTPS，Issuer URL需改为https://${KEYCLOAK_URL}/realms/${KEYCLOAK_REALM}
  • 确保Issuer URL拼写正确，无多余斜杠，realm名称与Keycloak控制台完全一致

• Keycloak 客户端配置错误
  登录Keycloak控制台进入svelte领域的demo客户端：

  • 确认Access Type设置为confidential（因为使用了client secret）
  • 检查Valid Redirect URIs包含SvelteKit应用的回调地址，比如开发环境的http://localhost:5173/auth/callback/keycloak
  • 确保Standard Flow Enabled处于开启状态

• 网络限制
  如果SvelteKit服务运行在有代理或防火墙的环境中，需确保服务能正常访问Keycloak的元数据端点.well-known/openid-configuration

内容的提问来源于stack exchange，提问作者Humberto