主机公司反向代理终止TLS时，Keycloak应选用哪种代理模式？

友好声明：我刚接触Keycloak及身份提供商（IdP）相关技术，可能会使用错误术语或存在认知误区，欢迎指正。

我的问题属于概念性问题。
我的主机公司在主机层面终止TLS证书，我的反向代理（Traefik）会获取该证书。
部署Keycloak到生产环境时，应选用以下哪种代理模式：edge、reencrypt或passthrough？
我基本可以排除passthrough模式，因为如前所述，TLS已在服务器端终止，但不确定是否需自备证书使用reencrypt模式，还是使用edge模式足够安全？
我已尽量简化问题，若需配置或更多细节，我很乐意提供。

核心结论 #

针对你的场景，edge模式是最适合且足够安全的选择，无需使用reencrypt模式。

各模式适配场景分析 #

• edge模式：适配反向代理已完成TLS终止的场景（即你当前的情况）。Traefik作为前端代理处理外部HTTPS请求，将解密后的HTTP流量转发给Keycloak。Keycloak会默认认为所有外部请求均通过HTTPS访问，能正确生成HTTPS格式的回调URL和跳转链接，完全满足生产环境安全要求。
• reencrypt模式：要求Keycloak自身持有SSL证书，用于和反向代理之间重新建立加密连接。该模式仅适用于代理与Keycloak部署在不同网络环境、中间链路存在安全风险的场景。而你的场景中，代理与Keycloak大概率处于同一可信环境（如同一主机或私有网络），额外加密既无必要，还会增加配置复杂度。
• passthrough模式：由Keycloak完全处理TLS加密，反向代理仅做流量转发。如你判断，该模式因TLS已在主机层面终止，确实不适用。

补充配置提示 #

使用edge模式时，需确保Keycloak正确配置frontendUrl，或允许Keycloak通过反向代理发送的X-Forwarded-*头自动识别外部访问地址，避免生成错误的HTTP链接。

内容的提问来源于stack exchange，提问作者linus