调用API时返回Keycloak登录页面的问题排查咨询

• 缺少API模式强制配置：你的Keycloak配置中未设置bearerOnly: true。对于纯API服务（无浏览器登录场景），该参数会强制适配器仅解析Authorization头中的Bearer Token，而不会触发重定向到登录页。官方keycloak-connect依赖此配置，ef-keycloak-connect作为衍生库大概率也遵循这个逻辑。

• 第三方适配器行为差异：你使用的ef-keycloak-connect并非官方维护的keycloak-connect库，它的默认认证流程可能优先适配浏览器端会话认证（依赖Cookie），而非API场景的Bearer Token验证。建议查看该库的文档，确认是否需要额外配置来启用API认证模式。

• Session中间件的干扰：应用启用了express-session，Keycloak中间件可能优先尝试从会话Cookie中获取认证信息。当Cookie无效时，直接触发登录重定向，而忽略了请求头中的Bearer Token。可以尝试移除Session中间件（若你的API不需要会话），或配置Keycloak优先解析Token。

• Token有效性问题：即使你获取了Token，可能存在以下验证失败的情况，但适配器未返回401错误而是直接重定向：

  • Token的aud（受众）与配置中的resource: "project-api"不匹配
  • Token已过期、签名无效，或所属realm与project-realm不一致
  • 获取Token时使用的客户端与project-api不是同一客户端，导致Token无法被当前客户端验证

• 请求头格式错误：检查Postman中的Authorization头是否严格符合Bearer <token>格式（注意Bearer与Token之间的空格），若格式错误，Keycloak无法识别Token，进而触发重定向。

内容的提问来源于stack exchange，提问作者czxriken