SvelteKit集成keycloak-js遇CODE_TO_TOKEN_ERROR错误求助

Postman能正常获取令牌但前端keycloak-js调用失败，核心问题出在前端客户端配置或Keycloak的客户端设置上，按以下步骤逐一排查：

1. 确认Keycloak客户端的访问类型 #

前端应用属于公共客户端，必须在Keycloak控制台的客户端设置里把Access Type改成public。如果设成了confidential，前端没法安全存储密钥，直接就会触发凭证无效的错误。另外要确保Standard Flow Enabled（授权码流）处于开启状态，keycloak-js默认使用这个流程。

2. 核对前端初始化配置 #

• 检查代码里的url、realm、clientId和Keycloak控制台的配置完全一致，别出现大小写或拼写错误。
• 前端的跳转URL（比如http://localhost:5173/*）必须加到Keycloak客户端的Valid Redirect URIs列表里。你当前代码没显式设置redirectUri，keycloak-js会默认使用当前页面URL，所以得确保这个URL在合法跳转列表中。

3. 不要给公共客户端传递密钥 #

如果客户端是public类型，绝对不要在前端代码里添加clientSecret，公共客户端不需要密钥，传了反而会导致Keycloak验证失败。

4. 检查Docker网络配置 #

• 你前端用http://localhost:8080访问Keycloak，要是前端也在Docker容器里，不能用localhost，得换成Keycloak容器的服务名或者宿主机IP，否则前端容器无法连接到Keycloak服务。
• 确认Keycloak容器的8080端口已经正确映射到宿主机。

5. 对比前端与Postman的请求参数 #

打开浏览器开发者工具，查看/token接口的请求参数，和Postman的请求做对比：

• 如果Postman手动传入了client_secret，说明你可能把客户端设成了confidential，但前端是public客户端，不能传递密钥。
• 确保前端拿到的授权码code是从Keycloak回调中正确获取的，没有丢失或被篡改。

6. 清除缓存重置会话 #

浏览器缓存的旧会话或过期凭证可能引发异常，清除浏览器缓存，或者去Keycloak控制台找到对应用户，删除其会话后重新测试。

内容的提问来源于stack exchange，提问作者askwer