开发环境中能否为Keycloak配置全域名白名单适配多项目？

我们有大量项目（比如Project1、Project2），它们的本地开发域名为example1.local、example2.local等。我们已经在开发机器上部署了Keycloak实例，里面有一个Development realm，这个realm下有一个AdminPanel客户端，希望用它来对接所有项目。

我们可以手动把https://example1.local/*、https://example2.local/*这类地址添加到valid redirect URLs和web origins里，但每年新增项目太多，逐个添加太麻烦。我们试过配置https://*，但登录时会提示invalid redirect_uri错误。请问能不能让Keycloak白名单所有域名？

可以通过以下几种方式实现批量允许本地开发域名，避免逐个添加：

1. 带后缀的通配符匹配（推荐） #

Keycloak支持带特定后缀的通配符配置，全量https://*会被安全策略拦截，但针对.local后缀的域名可以这样设置：

• 在valid redirect URLs中填写：https://*.local/*
• 在web origins中填写：https://*.local

这种配置会匹配所有以.local结尾的HTTPS域名，刚好覆盖你的本地开发项目，同时兼顾安全性，不会触发Keycloak的校验错误。

2. 开启宽松重定向模式（仅开发环境） #

如果你的Development realm完全是本地开发使用，没有暴露到公网的风险，可以开启客户端的任意重定向允许：

• 进入Keycloak管理控制台，找到Development realm下的AdminPanel客户端
• 切换到高级标签页
• 在访问设置中勾选允许任意重定向URI（不同Keycloak版本名称可能略有差异，比如Always allow redirects）
• 同时将Web Origins设置为*

⚠️ 注意：该选项仅限本地开发环境使用，生产环境绝对不能开启，否则会引发恶意重定向的安全风险。

3. 自动化批量配置（适合项目自动创建场景） #

如果你的项目是自动化创建的，可以通过Keycloak Admin API实现域名的自动追加：

• 调用客户端更新接口，将新域名添加到redirectUris和webOrigins数组中
• 示例curl命令：

curl -X PUT \
  http://your-keycloak-instance/auth/admin/realms/Development/clients/{client-id} \
  -H "Authorization: Bearer {admin-access-token}" \
  -H "Content-Type: application/json" \
  -d '{
    "redirectUris": ["https://*.local/*", "https://new-project.local/*"],
    "webOrigins": ["https://*.local", "https://new-project.local"]
  }'

可以把这个API调用集成到你的项目创建流程中，实现域名白名单的自动维护，完全无需手动操作。

内容的提问来源于stack exchange，提问作者Big boy