如何配置Keycloak实现不依赖Cookie的SSO单点登录？

完全可以实现，我自己在iOS WKWebView嵌入场景踩过一模一样的ITP坑，改SameSite之类的偏方根本治不了本，切到纯LocalStorage存凭据、全链路走Bearer Token校验是唯一长期稳定的方案，只是需要分别调整前端适配器、Keycloak服务端、后端API校验三个部分的配置，没法零改配置直接用。

• 前端keycloak-js适配器配置调整
  官方JS适配器原生支持存储切换，初始化的时候直接改核心参数即可，不需要用第三方封装的适配器：

const keycloak = new Keycloak({
  url: '你的Keycloak部署地址',
  realm: '业务对应的realm名',
  clientId: '对应客户端ID'
})
await keycloak.init({
  storage: window.localStorage, // 强制把access_token、id_token、刷新令牌都存在LocalStorage，完全不写Cookie
  checkLoginIframe: false, // 这个必须关！默认的静默登录检查是嵌Keycloak域名的iframe读Cookie，在ITP场景下100%失效，开了反而会报跨域和拦截错误
  pkceMethod: 'S256', // 必须开PKCE，公网场景下弥补无Cookie带来的CSRF、授权码劫持风险
  responseMode: 'fragment' // 授权回调把参数带在URL hash里，避免服务端写临时Cookie
})

• Keycloak服务端配置调整
  1. 对应客户端的访问类型改成public，不要用confidential模式——confidential模式依赖服务端会话Cookie做客户端校验，本身就和无Cookie目标冲突。
  2. 进入对应realm的「会话」设置页，关掉SSO会话的Cookie持久化逻辑，会话校验完全绑定前端提交的Token本身，不要依赖Cookie里存的会话ID。
  3. 给Keycloak配置正确的CSP响应头，允许你的业务站点域名嵌入Keycloak登录页，不然跳登录的时候会被X-Frame-Options拦截。
• 后端API校验逻辑调整
  把原来从Cookie里读Token、读会话ID的逻辑全删掉，所有API端点统一从请求头的Authorization: Bearer <token>字段取凭据做校验，这一步是核心——只要后端还在读Cookie，前端怎么改都脱离不了Cookie依赖。

• 切LocalStorage之后XSS风险会比HttpOnly Cookie高：LocalStorage里的Token任何页面内脚本都能拿到，一定要配严格的CSP规则，禁止加载未授权的第三方脚本，对内联脚本做nonce校验，避免Token被窃取。
• 刷新令牌的过期时间不要设太长，建议和访问令牌的过期时间做匹配，降低凭据泄露后的风险。
• 别浪费时间试SameSite=None+Secure的方案，Webkit ITP对第三方iframe下的Cookie有严格的分区限制，哪怕属性配全了，在iOS 14+的WKWebView、Safari里，第三方Cookie最多存7天就会被清除，长期运营肯定会出现频繁掉登录的问题。

内容的提问来源于stack exchange，提问作者phlype