Keycloak 18.0.2集成外部IdP遇cookie_not_found错误的处理咨询

我们使用Keycloak 18.0.2，当前领域已集成Okta、Ping、Azure等外部身份提供商（IdP）。近期该领域的登录事件中出现大量IDENTITY_PROVIDER_LOGIN_ERROR / cookie_not_found错误，用户反馈只有清除浏览器缓存和Cookie后才能正常登录。

可稳定复现的场景 #

1. 多浏览器标签页场景 #

• 在标签页1打开menu-navigator应用，触发Keycloak认证流程，重定向至外部SSO登录页，此时登录页通过KC_RESTART Cookie（认证端点）初始化会话。
• 同一浏览器的标签页2打开dashboard-frontend应用，执行相同的认证流程。
• 两个应用均基于Vue.js开发，使用oidc-client-ts库。初始化时，OIDC库加载领域元数据、创建用户存储并启动登录流程；用户认证成功且会话激活后，KC_RESTART Cookie过期。
• 用户返回标签页1尝试登录时，系统无法找到认证会话，尝试通过KC_RESTART Cookie重置会话，但该Cookie已过期，最终被重定向至Keycloak并看到“Cookie not found”提示。

2. 过期会话场景 #

• 用户打开应用（menu-nav或dashboard），登录后操作并关闭标签页。
• 用户在会话空闲超时与最大超时之间再次打开应用，被重定向至Keycloak并触发“Cookie not found”错误。

此外该错误还出现在其他场景，但无法稳定复现。

已尝试的解决方案及结果 #

调试中发现Keycloak会重定向至应用回调端点并携带error=login_required参数，因此我们调整客户端应用逻辑：先尝试静默登录，失败后再执行登录重定向。该方案有效解决了cookie_not_found错误，但出现了IDENTITY_PROVIDER_LOGIN_ERROR / expired_code错误——我们判断这与会话最大超时相关，属于正常情况，会引导用户重新进入SSO登录页。

想请教各位：

1. 针对cookie_not_found错误的根因，是否有更精准的定位方向？
2. 除了当前的静默登录 fallback 方案，还有哪些更优的优化手段？
3. 对于跨标签页的会话冲突问题，有没有针对性的解决思路？

内容的提问来源于stack exchange，提问作者Edmilson Santana