配置多域名Keycloak规避第三方Cookie拦截且保留SSO功能

针对你遇到的问题，以下是几个可行的方案，同时明确说明自定义认证器生成多域名Cookie的不可行性：

1. 配置Keycloak Cookie为SameSite=None; Secure #

现代浏览器拦截第三方Cookie的核心原因是默认的SameSite=Lax策略，将Keycloak的会话Cookie设置为SameSite=None并强制Secure（仅HTTPS传输），可以让浏览器允许跨域/iframe场景下的Cookie传递，同时保留SSO功能。

具体配置方式（Bitnami Helm部署） #

在Helm的values.yaml中添加环境变量，覆盖Keycloak的Cookie配置：

extraEnv:
  # 设置Cookie的SameSite属性为None
  - name: KC_SPI_SESSION_STORAGE_COOKIE_SAMESITE
    value: "None"
  # 强制Cookie仅通过HTTPS传输（SameSite=None必须配合Secure）
  - name: KC_SPI_SESSION_STORAGE_COOKIE_SECURE
    value: "true"

也可以在Keycloak管理后台手动配置：进入目标Realm → Realm Settings → Cookies，将SameSite设为None，勾选Secure选项。

注意：必须确保Keycloak和所有应用都使用HTTPS，否则SecureCookie会被浏览器拒绝。

2. 改用OAuth 2.0授权码流+PKCE #

如果iframe场景下SameSite=None仍有兼容性问题（比如部分旧浏览器），可以将应用的认证方式从隐式流（Implicit Flow）改为授权码流+PKCE。

PKCE流程不需要依赖第三方Cookie传递会话状态，而是通过前端生成的随机码（Verifier/Challenge）完成授权验证，完全规避第三方Cookie拦截问题，同时用户在Keycloak登录后，其他应用通过PKCE流程仍能共享SSO会话。

3. 统一根域名（若业务允许） #

如果能将所有应用和Keycloak调整到同一根域名下（比如把app2.mycompany2.com改为app2.mycompany.com，app3.mycompany3.com改为app3.mycompany.com），可以将Keycloak的Cookie Domain设置为.mycompany.com，这样所有同根域的应用都能共享Keycloak的会话Cookie，既不会触发第三方Cookie拦截，又能完美保留SSO功能。

在Helm中配置Cookie Domain：

extraEnv:
  - name: KC_SPI_SESSION_STORAGE_COOKIE_DOMAIN
    value: ".mycompany.com"

关于自定义认证器生成多域名Cookie的说明 #

这个思路不可行：浏览器的同源策略禁止网站设置其他主域的Cookie，Keycloak运行在auth.mycompany.com下，无法为mycompany2.com或mycompany3.com设置Cookie，因此自定义认证器也无法实现一次性生成适配所有域名的Cookie。

为什么添加extraHosts会丢失SSO #

每个extraHosts对应一个独立的域名，Keycloak的会话Cookie是绑定到具体域名的，比如auth.mycompany2.com的Cookie无法在auth.mycompany.com下被读取，导致用户在不同域名的Keycloak实例下的会话不共享，自然丢失跨域SSO功能。

内容的提问来源于stack exchange，提问作者ar099968