如何配置Apache Superset对接Keycloak OAuth2认证的Trino并自动打开认证URL

1. 配置Trino启用设备授权流（Device Authorization Grant） #

确保Trino的config.properties中配置OAuth2设备流相关参数，让Trino支持通过设备码方式返回认证URL：

http-server.authentication.type=oauth2
oauth2.client.id=你的Superset客户端ID
oauth2.client.secret=你的Superset客户端密钥
oauth2.token.url=https://你的Keycloak域名/auth/realms/目标域/protocol/openid-connect/token
oauth2.authorization.url=https://你的Keycloak域名/auth/realms/目标域/protocol/openid-connect/auth
oauth2.device.authorization.url=https://你的Keycloak域名/auth/realms/目标域/protocol/openid-connect/auth/device
oauth2.scopes=openid profile email

设备授权流会让Trino返回可直接访问的认证URL和用户码，适配服务端应用的认证场景。

2. 配置Superset的Trino数据源连接 #

在Superset的Trino数据源编辑页面，于Extra字段添加JDBC驱动的OAuth2设备流参数：

{
  "auth": "oauth2",
  "oauth2_device_flow": true,
  "oauth2_client_id": "你的Superset客户端ID",
  "oauth2_client_secret": "你的Superset客户端密钥",
  "oauth2_scopes": "openid profile email"
}

该配置会告诉Superset使用设备流与Trino完成OAuth2认证，而非默认的授权码流。

3. 修改Superset的Trino引擎代码，将认证URL推送到前端界面 #

默认Superset仅将认证URL写入后台日志，需修改superset/db_engine_specs/trino.py中的异常处理逻辑，把认证信息暴露给前端：

1. 找到handle_cursor_exception方法，捕获Trino的OAuth2认证异常
2. 从异常中提取认证URL和用户码
3. 将信息封装为前端可展示的提示抛出

示例修改片段：

from superset.db_engine_specs.base import BaseEngineSpec

class TrinoEngineSpec(BaseEngineSpec):
    # ... 保留原有代码 ...
    @classmethod
    def handle_cursor_exception(cls, ex: Exception) -> None:
        # 识别Trino的OAuth2认证异常
        if hasattr(ex, "getAuthorizationUrl") and hasattr(ex, "getUserCode"):
            auth_url = ex.getAuthorizationUrl()
            user_code = ex.getUserCode()
            # 抛出带认证信息的异常，让SQL Lab界面直接显示
            raise Exception(f"请完成认证：\n打开链接：{auth_url}\n输入用户码：{user_code}")
        super().handle_cursor_exception(ex)

修改后，用户在SQL Lab执行查询触发认证时，界面会直接显示认证URL，点击即可自动打开浏览器完成操作。

4. （可选）前端自动打开URL优化 #

若需要实现浏览器自动弹出认证页面，可修改Superset前端代码（如superset-frontend/src/components/SqlLab/QueryEditor/index.js），监听包含认证URL的提示信息，自动调用window.open(authUrl)打开链接。

内容的提问来源于stack exchange，提问作者Mahebub A Sayyed