将用户客户端角色设为Protocol Mapper致Keycloak生产环境502错误

核心场景 #

• .NET应用采用Keycloak作为身份认证服务，开发环境（HTTPS）运行正常
• 部署到生产环境（HTTP）后，在Keycloak管理控制台为客户端添加用户客户端角色类型的Protocol Mapper，触发502 Bad Gateway错误

排查与解决方案 #

1. Cookie安全策略与HTTP环境不兼容 #

你的代码中硬编码了Cookie的SecurePolicy为Always，但生产环境使用HTTP协议：

options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
options.NonceCookie.SecurePolicy = CookieSecurePolicy.Always;
options.CorrelationCookie.SecurePolicy = CookieSecurePolicy.Always;

Secure Cookie仅在HTTPS环境下才会被浏览器传递，HTTP环境下这些Cookie会被丢弃，导致认证流程中断，反向代理返回502。

修改方案：根据环境动态设置Cookie安全策略

• 修改AddCookie配置：

.AddCookie(CookieAuthenticationDefaults.AuthenticationScheme, options =>
{
    options.Cookie.Name = ".AspNetCore.Cookies";
    options.Cookie.SameSite = SameSiteMode.None;
    // 生产环境（HTTP）禁用Secure Cookie要求，开发环境（HTTPS）启用
    options.Cookie.SecurePolicy = builder.Environment.IsProduction() 
        ? CookieSecurePolicy.None 
        : CookieSecurePolicy.Always;
    options.ExpireTimeSpan = TimeSpan.FromMinutes(15);
    options.SlidingExpiration = true;
})

• 修改AddOpenIdConnect中的Nonce和Correlation Cookie配置：

.AddOpenIdConnect("oidc", options =>
{
    // ... 其他配置
    options.NonceCookie.SecurePolicy = builder.Environment.IsProduction() 
        ? CookieSecurePolicy.None 
        : CookieSecurePolicy.Always;
    options.CorrelationCookie.SecurePolicy = builder.Environment.IsProduction() 
        ? CookieSecurePolicy.None 
        : CookieSecurePolicy.Always;
    // ... 其他配置
})

2. HTTPS重定向中间件冲突 #

代码中启用了UseHttpsRedirection()，生产环境使用HTTP时，该中间件会强制将请求跳转到HTTPS，引发请求循环或反向代理报错。

修改方案：仅在非生产环境启用HTTPS重定向

// 替换原有的app.UseHttpsRedirection();
if (!builder.Environment.IsProduction())
{
    app.UseHttpsRedirection();
}

3. Keycloak客户端配置验证 #

确保Keycloak客户端的以下配置正确：

• Valid Redirect URIs：添加生产环境的HTTP地址，例如http://keycloak-example-development.sik.govcloud.dk/*
• Valid Post Logout Redirect URIs：同样添加生产环境的HTTP地址
• 检查用户客户端角色Protocol Mapper的配置：
  • 确认Token Claim Name设置为roles（或与你的授权逻辑匹配的名称）
  • 勾选Add to ID Token或Add to User Info（因为你启用了GetClaimsFromUserInfoEndpoint = true）
  • Claim JSON Type设置为String

4. 日志排查 #

在生产环境启用详细的认证日志，便于定位具体错误：
在appsettings.json中添加：

{
  "Logging": {
    "LogLevel": {
      "Microsoft.AspNetCore.Authentication": "Debug",
      "Microsoft.IdentityModel": "Debug"
    }
  }
}

查看应用日志或反向代理日志，确认502错误的具体触发点。

内容的提问来源于stack exchange，提问作者Lord Toby