Keycloak与iframe集成异常问题排查求助

1. 检查Keycloak会话Cookie的SameSite属性 #

• 重点看Keycloak的会话Cookie（默认是KEYCLOAK_SESSION）的SameSite配置。如果设成了Strict，跨域iframe访问时浏览器不会携带这个Cookie，Keycloak就认不出已登录的会话，自然要求重新登录。等在iframe里登过一次后，浏览器的Cookie策略松动，后续就能正常携带了。
• 建议把SameSite改成Lax或者None（用None的话必须同时开启Secure，仅支持HTTPS环境），这样跨域iframe场景下Cookie才能正常传递。

2. 浏览器第三方Cookie限制 #

• 现在主流浏览器（Chrome、Firefox）对第三方Cookie管控严格，清空数据后首次访问时，浏览器大概率默认阻止iframe里的第三方Cookie请求。等你在iframe里手动登一次，浏览器会把Keycloak的域名标记为可信，之后就允许携带Cookie了。
• 可以先查看浏览器隐私设置里是否开启"阻止第三方Cookie"；也能在开发者工具的Application面板中，检查Keycloak的Cookie在iframe上下文里有没有被正确加载。

3. Keycloak客户端的重定向URI配置 #

• 确认所有子应用（first.webapp.com、second.webapp.com等）的Keycloak客户端重定向URI是否配置正确，要包含对应的域名和路径。如果重定向URI错误，授权流程走不通，也会触发重新登录。
• 另外查看客户端的Access Type设置，不管是public还是confidential，对应的配置要和子应用的认证逻辑匹配，确保子应用能正常获取授权码并兑换令牌。

4. 子应用的认证逻辑优先级 #

• 主应用登录后拿到的令牌，有没有做跨域共享？正常来说Keycloak的会话靠Cookie维护，但如果子应用是等待主应用传递令牌，而非自己直接通过Keycloak会话Cookie完成认证，那首次加载时令牌未传递到位就会要求登录。
• 检查子应用的认证代码，是否优先尝试用Keycloak的会话Cookie完成认证，而非依赖主应用传参。

5. Keycloak的会话同步设置 #

• 查看Keycloak的会话超时配置，比如SSO Session Idle和SSO Session Max，会不会是主应用登录后会话还未同步到子应用？这种情况不多，但可以排查确认。
• 另外检查客户端是否开启Always Refresh Token这类可能影响会话同步的选项。

内容的提问来源于stack exchange，提问作者tralalala