如何调试Keycloak中CAS OIDC身份提供商的No access_token报错？

我来帮你梳理下这个Keycloak集成CAS OIDC时遇到的问题，结合这类集成的常见坑，给你几个可能的原因和具体的调试方向：

可能的问题原因 #

• CAS OIDC响应未返回access_token：虽然CAS端日志显示认证正常，但部分场景下CAS的OIDC配置可能只返回id_token而不生成access_token——比如CAS客户端未开启授权码模式下的token颁发，或者scope配置不全。Keycloak默认依赖access_token来完成用户信息验证，缺失的话就会抛出这个错误。
• Keycloak侧scope配置不足：检查Keycloak中CAS身份提供商的scope设置，是否包含openid这个核心scope？如果没有指定openid或其他必要scope（比如profile），CAS可能不会返回access_token。
• CAS的token_endpoint不可用或配置错误：Keycloak通过.well-known/openid-configuration自动获取token端点，如果这个端点返回的token_endpoint路径错误、HTTPS证书不被信任，或者网络不通，Keycloak无法向CAS请求access_token，自然会报没有token的错误。
• 客户端密钥不匹配：Keycloak配置的client_secret如果和CAS侧OIDC客户端的密钥不一致，CAS会拒绝Keycloak的token请求，但Keycloak的DEBUG日志可能不会直接提示密钥错误，只会笼统地说没有access_token。
• 网络/防火墙拦截：前端重定向正常不代表后端通信没问题，如果Keycloak服务器无法访问CAS的token端点（比如防火墙阻断了端口），Keycloak根本发不出token请求，也就拿不到access_token。

具体调试步骤 #

1. 手动模拟OIDC授权码流程
   直接绕过Keycloak，验证CAS本身是否能正常返回access_token：

   • 从CAS的/cas/oidc/.well-known/openid-configuration获取authorization_endpoint和token_endpoint。
   • 构造授权请求访问authorization_endpoint，带上参数：client_id=你的客户端ID、redirect_uri=Keycloak配置的回调地址、response_type=code、scope=openid，完成认证后拿到授权码。
   • 用POST请求调用token_endpoint，带上参数：client_id=你的客户端ID、client_secret=你的客户端密钥、grant_type=authorization_code、code=刚才拿到的授权码、redirect_uri=同上回调地址，查看返回的JSON里是否包含access_token。如果没有，问题肯定出在CAS的OIDC客户端配置上。

2. 开启Keycloak的TRACE级日志
   DEBUG级日志可能不够详细，单独把身份提供商相关的日志调到TRACE级别，能看到完整的请求和响应细节：
   在Keycloak的standalone.xml或domain.xml中添加/修改日志配置：

   <logger category="org.keycloak.broker.oidc">
       <level name="TRACE"/>
   </logger>
   <logger category="org.keycloak.broker.provider">
       <level name="TRACE"/>
   </logger>
   

   重启Keycloak后再测试，查看日志里Keycloak向CAS发起token请求的参数、CAS返回的响应内容，就能明确是请求失败还是响应缺失token。

3. 检查CAS的token请求日志
   查看CAS端的详细请求日志，确认Keycloak是否发起了token请求，请求参数是否正确，CAS返回的响应是什么。如果Keycloak没发起请求，大概率是网络或Keycloak的端点配置问题；如果CAS返回了错误，根据错误信息调整配置。

4. 验证回调地址一致性
   确保Keycloak中配置的redirect_uri和CAS侧OIDC客户端的回调地址完全一致，包括协议（HTTP/HTTPS）、域名、路径，哪怕细微的差异（比如末尾多了个斜杠）都可能导致CAS拒绝返回token。

5. 排查HTTPS证书问题
   如果CAS用的是HTTPS，确认Keycloak服务器的JRE信任存储（比如$JAVA_HOME/jre/lib/security/cacerts）是否导入了CAS的证书。如果证书不被信任，Keycloak调用token端点时会静默失败，导致拿不到token。

内容的提问来源于stack exchange，提问作者tdudgeon