Nginx单Location正则配置：Keycloak反向代理统一方案问询

方案一：URL重写添加auth/前缀（推荐） #

如果愿意调整前端和后端的Keycloak请求路径为/auth/realms/...这类格式，这个方案逻辑清晰，还能避免路径冲突。

Nginx配置片段：

server {
    listen 80;
    server_name your-domain.com; # 替换成你的实际域名

    # 统一匹配Keycloak相关路径，重写后代理
    location ~ ^/(realms|admin|js|resources)/ {
        rewrite ^/(.*)$ /auth/$1 break; # 给原路径加上auth前缀
        proxy_pass http://keylock:8180;
        # 传递必要请求头，保证Keycloak正常处理认证
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    # 代理React前端静态文件
    location / {
        root /path/to/react/build; # 替换成你的React构建产物目录
        try_files $uri $uri/ /index.html; # 支持React路由刷新
    }

    # 代理Spring Boot后端接口
    location /api/ {
        proxy_pass http://your-spring-boot-service:port; # 替换成你的后端服务地址
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

关键说明 #

• 正则^/(realms|admin|js|resources)/精准匹配所有目标路径开头的请求，不会误匹配其他业务路径
• rewrite规则把请求路径重写为带auth/前缀的格式，比如/realms/myrealm会变成/auth/realms/myrealm再转发给Keycloak
• 务必把Keycloak的frontendUrl配置成http://your-domain.com/auth，保证认证回调地址正确

方案二：直接正则匹配代理（无需修改业务端路径） #

如果不想改动前端和后端的请求路径，直接把符合规则的请求原样转发给Keycloak，用这个方案：

Nginx配置片段：

server {
    listen 80;
    server_name your-domain.com;

    # 直接匹配目标路径并代理到Keycloak
    location ~ ^/(realms|admin|js|resources)/ {
        proxy_pass http://keylock:8180;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_redirect off; # 禁止Nginx自动修改跳转地址，避免认证流程出错
    }

    # React前端代理（同方案一）
    location / {
        root /path/to/react/build;
        try_files $uri $uri/ /index.html;
    }

    # Spring Boot后端代理（同方案一）
    location /api/ {
        proxy_pass http://your-spring-boot-service:port;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

关键说明 #

• 这个方案不需要修改前端后端的请求路径，直接转发匹配的请求
• proxy_redirect off是核心配置，防止Nginx把Keycloak返回的跳转地址修改成自身域名，导致认证流程中断
• Keycloak的frontendUrl要配置成http://your-domain.com，和Nginx的域名保持一致

测试验证 #

配置完成后，用以下命令测试代理是否生效：

curl -v http://your-domain.com/realms/your-realm-name/.well-known/openid-configuration

如果能正常返回Keycloak的OpenID配置信息，说明代理成功。

内容的提问来源于stack exchange，提问作者kaleb