OpenID Connect无法跳转至提供商登录页面，需排查哪些配置？

问题描述 #

使用Liferay Community Edition Portal 7.4.3.60 CE GA60集成Keycloak 21.0.0时，选择OpenID Connect提供商点击登录后，无法跳转到Keycloak登录页面，Liferay日志出现如下核心错误：

2023-02-27 18:24:19.252 ERROR [http-nio-9090-exec-10][OpenIdConnectLoginRequestMVCActionCommand:199] Unable to process the OpenID Connect login: java.lang.IllegalStateException: Resource URI must be absolute and with no query or fragment:
com.liferay.portal.kernel.exception.PortalException: java.lang.IllegalStateException: Resource URI must be absolute and with no query or fragment:
        at com.liferay.portal.security.sso.openid.connect.internal.OpenIdConnectAuthenticationHandlerImpl.requestAuthentication(OpenIdConnectAuthenticationHandlerImpl.java:243) ~[?:?]
        ...
Caused by: java.lang.IllegalStateException: Resource URI must be absolute and with no query or fragment:
        at com.nimbusds.openid.connect.sdk.AuthenticationRequest$Builder.build(AuthenticationRequest.java:959) ~[?:?]
        ...
Caused by: java.lang.IllegalArgumentException: Resource URI must be absolute and with no query or fragment:
        at com.nimbusds.oauth2.sdk.AuthorizationRequest.<init>(AuthorizationRequest.java:814) ~[?:?]
        ...

2023-02-27 18:24:19.269 ERROR [http-nio-9090-exec-10][PortletServlet:118] Unable to process portlet com_liferay_login_web_portlet_LoginPortlet: java.lang.IllegalStateException: Set render parameter has already been called
javax.portlet.PortletException: java.lang.IllegalStateException: Set render parameter has already been called
        ...
Caused by: java.lang.IllegalStateException: Set render parameter has already been called
        at com.liferay.portlet.internal.ActionResponseImpl.sendRedirect(ActionResponseImpl.java:52) ~[portal-impl.jar:?]
        ...

需检查的配置项 #

• OpenID Connect提供商的端点URL配置
  错误核心提示资源URI必须是绝对路径且无查询参数/片段，需确认Liferay后台配置的Keycloak提供商信息：

  • 授权端点（Authorization Endpoint）必须是完整绝对URL，例如https://your-keycloak-host/auth/realms/your-realm/protocol/openid-connect/auth，不能用相对路径，不能包含?或#开头的参数。
  • 令牌端点（Token Endpoint）、用户信息端点（User Info Endpoint）需遵循同样规则，确保为纯绝对URL。

• 重定向URI的一致性验证

  • 在Liferay的OpenID Connect提供商配置中，重定向URI必须是完整的Liferay回调地址，例如https://your-liferay-host/oauth2/openid_connect，确保无多余参数。
  • 在Keycloak的对应客户端配置中，必须添加与Liferay完全一致的重定向URI，两者不匹配会导致生成认证请求时出现URI错误。

• Liferay门户基础URL配置
  进入Liferay后台控制面板 > 配置 > 系统设置 > 平台 > 门户设置 > 常规，确认「门户URL」设置为完整的绝对URL（如https://your-liferay-host）。Liferay生成回调地址依赖此配置，若为相对路径或未正确设置，会导致URI不符合要求。

• Keycloak客户端核心配置

  • 客户端的「访问类型」设置为confidential或public（与Liferay的提供商配置对应）。
  • 确保客户端启用了「授权码流（Authorization Code Flow）」，这是OpenID Connect登录跳转的必要流程。
  • 客户端的「根URL」需设置为完整绝对URL，避免相对路径引发的URI生成问题。

补充说明 #

日志中的Set render parameter has already been called是初始URI错误导致的连锁异常，解决核心的URI配置问题后，该错误会自动消失。

内容的提问来源于stack exchange，提问作者billydekid