OpenShift中HAProxy向Spring Boot应用重定向遇302错误求助

问题根源分析 #

1. HAProxy未处理根路径到上下文路径的映射 #

直接访问DNS根路径时，HAProxy没有将请求转发到Spring Boot应用的/contextpath路径，后端Tomcat收到根路径请求后默认返回302重定向，而Keycloak的认证逻辑会干扰这个过程，最终返回错误的302响应。

2. Spring Boot上下文路径与反向代理的适配问题 #

Spring Boot通过server.servlet.context-path设置上下文路径后，仅监听/contextpath下的请求，根路径请求会被Tomcat默认Servlet处理触发重定向。如果未正确配置转发头，Spring Boot无法识别反向代理的真实请求路径，进一步加剧重定向逻辑混乱。

3. Keycloak认证重定向URI不匹配 #

Keycloak处理未认证请求时会重定向到登录页，但如果根路径不在Valid Redirect URIs列表中，或者Spring Boot的Keycloak配置中redirect-uri未覆盖根路径场景，会导致认证流程中的302错误。

解决方案 #

方案1：HAProxy配置路径重写/重定向 #

方式A：外部重定向（用户地址栏会显示上下文路径）

frontend main
    bind *:80
    # 匹配根路径请求，直接重定向到上下文路径
    acl root_path path /
    redirect location /contextpath code 301 if root_path
    default_backend springboot_backend

backend springboot_backend
    server app <内部服务IP>:<端口>
    # 传递反向代理头，让Spring Boot/Keycloak识别真实请求地址
    http-request set-header X-Forwarded-For %[src]
    http-request set-header X-Forwarded-Proto %[env(proto)]
    http-request set-header X-Forwarded-Port %[dst_port]

方式B：内部路径重写（用户地址栏保持根路径）

backend springboot_backend
    server app <内部服务IP>:<端口>
    # 将根路径请求的路径替换为上下文路径，后端无感知
    http-request replace-path ^/$ /contextpath
    # 传递修改后的路径头
    http-request set-header X-Forwarded-Path %[path]
    # 其他转发头配置同上

方案2：Spring Boot添加根路径重定向控制器 #

在应用中新增控制器，主动处理根路径请求，避免Tomcat默认重定向：

@Controller
public class RootRedirectController {
    @GetMapping("/")
    public String redirectToApp() {
        return "redirect:/contextpath";
    }
}

同时在application.properties中配置转发头策略：

server.servlet.context-path=/contextpath
server.forward-headers-strategy=framework # 让Spring Boot处理反向代理的转发头

方案3：修正Keycloak客户端配置 #

1. 登录Keycloak控制台，找到对应客户端
2. 在Valid Redirect URIs中添加：https://your-dns/*（覆盖根路径和上下文路径场景）
3. 更新Spring Boot的Keycloak配置：

keycloak.security-constraints[0].security-collections[0].patterns[0]=/*
keycloak.redirect-uri=https://your-dns/contextpath/*
keycloak.use-resource-role-mappings=true

排查验证步骤 #

1. 查看HAProxy访问日志，确认根路径请求是否被正确转发/重写
2. 检查Spring Boot日志，查看根路径请求的处理链路，是否有Keycloak认证拦截的日志
3. 用浏览器开发者工具查看302响应头的Location字段，确认重定向目标是否符合预期

内容的提问来源于stack exchange，提问作者miaguicam