Keycloak v21.0.1配置Apple OIDC身份提供商报错求助

针对你遇到的invalid_client错误（无access_token返回），需要调整以下配置：

• 修正客户端密钥配置
  Apple的客户端密钥并非直接使用私钥的base64部分，需用Apple提供的.p8私钥生成符合要求的JWT断言：

  • 头部指定算法alg: ES256，以及私钥对应的kid（可在Apple开发者后台查看私钥详情获取）
  • 负载包含：
    • iss: 你的Apple团队ID
    • aud: https://appleid.apple.com
    • sub: 你配置的Apple服务ID（即Keycloak里的客户端ID）
    • exp: 过期时间（最长设置为6个月）
  • 将生成的JWT字符串填入Keycloak身份提供商的客户端密钥字段。

• 确保重定向URI完全一致
  在Apple开发者后台的服务ID配置中，重定向URI必须与Keycloak身份提供商的重定向URI完全匹配，格式为：

  https://<你的Keycloak域名>/realms/<你的Realm名称>/broker/apple/endpoint
  

  避免大小写错误、多余斜杠或路径差异。

• 调整Keycloak OIDC提供商高级配置

  • 开启使用客户端断言选项
  • 客户端断言类型选择JWT
  • 客户端断言签名算法选择ES256
  • 确认发行方字段严格设置为https://appleid.apple.com，无额外路径。

• 自定义提供商适配处理
  若使用第三方自定义提供商，需确保其适配Keycloak v21.0.1：

  • 检查代码是否正确实现Apple的JWT客户端断言生成与传递逻辑
  • 确认令牌请求中包含client_assertion和client_assertion_type参数，且参数值符合Apple要求。

内容的提问来源于stack exchange，提问作者Nina Denisova