如何让Keycloak接受向授权端点发送的POST请求？

可能的原因及修复步骤 #

• 检查POST请求格式与参数
  Keycloak的授权端点（openid-connect/auth）接收POST请求时，要求Content-Type必须为application/x-www-form-urlencoded，且参数需按表单格式编码。确保请求包含以下必填参数：

  • client_id：你的Keycloak客户端ID
  • redirect_uri：与客户端配置中一致的合法重定向URI
  • response_type：固定为code（授权码模式）
  • token：外部认证服务生成的JWT（你的自定义认证器需要的参数）
    如果是confidential类型客户端，还需携带client_secret参数，或通过Basic Auth传递客户端凭证。

• 修复自定义认证器的参数获取逻辑
  你的自定义认证器可能仅处理了GET请求的URL参数，未读取POST表单中的参数。修改认证器代码，同时支持从GET查询参数和POST表单参数中获取token：

  @Override
  public void authenticate(AuthenticationFlowContext context) {
      HttpRequest request = context.getHttpRequest();
      // 优先从POST表单取token，再尝试GET参数
      String token = request.getFormParams().getFirst("token");
      if (token == null) {
          token = request.getQueryParams().getFirst("token");
      }
      if (token == null) {
          context.failure(AuthenticationError.INVALID_CREDENTIALS, "Missing token parameter");
          return;
      }
      // 此处添加你的token验证与用户名解码逻辑
  }
  

• 验证客户端配置
  进入Keycloak控制台，检查客户端配置：

  • 确认Access Type设置为confidential或public（根据你的业务场景选择）
  • 确保Authorization Code在Enabled OAuth 2.0 Flows中被勾选
  • Valid Redirect URIs需包含请求中携带的redirect_uri值，支持通配符（如http://localhost:*）

• 查看Keycloak日志定位具体错误
  开启Keycloak的Debug日志，获取invalid_request的详细原因：

  • 修改standalone/configuration/standalone.xml，将日志级别调整为DEBUG：

    <logger category="org.keycloak">
        <level name="DEBUG"/>
    </logger>
    

  • 重启Keycloak后，查看standalone/log/server.log，日志中会明确指出请求缺失的参数、格式错误等问题。

额外注意事项 #

• 若你的外部服务发送的是JSON格式的POST请求，Keycloak默认不支持这种格式，需在自定义认证器中手动解析请求体的JSON数据，或调整请求格式为application/x-www-form-urlencoded。
• 确保请求中的所有参数未包含特殊字符，若有需进行URL编码。

内容的提问来源于stack exchange，提问作者Muhammad Haseeb