Blazor Client集成Keycloak 21遇CORS跨域错误求助

问题重现 #

从源https://localhost:44337访问http://localhost:8080/auth/realms/arqgrifo/.well-known/openid-configuration时，被CORS策略阻止：请求资源上不存在Access-Control-Allow-Origin头。

针对Keycloak 21的配置方案 #

1. 客户端层面配置（对应提供的客户端设置） #

• 确保客户端的Web Origins配置正确：
  • 直接添加前端域名https://localhost:44337，生产环境不建议用通配符*，开发环境可临时测试
  • 本地开发也可填写+，表示允许所有已注册的有效重定向URI来源
• 检查Access Type是否设为public（前端应用通常选此项）
• 确认Valid Redirect URIs已包含前端回调地址，比如https://localhost:44337/*

2. 全局CORS配置（Keycloak 21基于Quarkus，需修改配置文件） #

若客户端配置无效，需修改Keycloak的配置文件：

• 若使用传统standalone.xml，找到<subsystem xmlns="urn:jboss:domain:undertow:12.0">节点，添加CORS过滤器：

<filters>
    <filter name="cors-filter" class-name="io.undertow.servlet.handlers.CorsHandler">
        <param name="allowedOrigins" value="https://localhost:44337"/>
        <param name="allowedMethods" value="GET, POST, OPTIONS, PUT, DELETE"/>
        <param name="allowedHeaders" value="Authorization, Content-Type, X-Requested-With"/>
        <param name="allowCredentials" value="true"/>
    </filter>
</filters>
<handlers>
    <filter-ref name="cors-filter"/>
</handlers>

• 若使用Quarkus模式的quarkus.properties，添加：

quarkus.http.cors.enabled=true
quarkus.http.cors.origins=https://localhost:44337
quarkus.http.cors.methods=GET,POST,OPTIONS,PUT,DELETE
quarkus.http.cors.headers=Authorization,Content-Type,X-Requested-With
quarkus.http.cors.credentials=true

3. 验证配置是否生效 #

• 重启Keycloak服务
• 打开浏览器开发者工具的Network面板，查看请求响应头是否包含Access-Control-Allow-Origin: https://localhost:44337
• 也可用curl命令测试：

curl -H "Origin: https://localhost:44337" -I http://localhost:8080/auth/realms/arqgrifo/.well-known/openid-configuration

响应头出现Access-Control-Allow-Origin即表示配置生效。

关键注意事项 #

• Keycloak 21默认已移除/auth路径，正确的端点应为http://localhost:8080/realms/arqgrifo/.well-known/openid-configuration，这可能是导致错误的核心原因之一
• 若使用反向代理（如Nginx），需在代理层同步配置CORS头，避免被代理覆盖
• 生产环境禁止使用*作为允许源，必须指定具体域名以保障安全

内容的提问来源于stack exchange，提问作者Stephany Henrique