如何为Keycloak的Cookie设置HTTPonly与Secure标识

可以通过Keycloak管理后台配合相关配置调整实现KEYCLOAK_SESSION、KEYCLOAK_SESSION_LEGACY两个Cookie的Secure、HttpOnly标识设置，你之前仅配置requires SSL未生效是因为该配置仅控制Secure标识的触发条件，还需要额外调整会话Cookie的相关配置项，具体操作步骤如下：

1. 确认基础SSL配置生效 #

• 首先确认你的Keycloak实例确实是通过HTTPS访问的，如果实际访问用的是HTTP协议，哪怕配置了强制SSL，Secure标识也不会生效，因为Secure标识仅在HTTPS传输场景下才会被附加到Cookie上
• 确认对应Realm设置下的「Login」标签页中，Require SSL选项已经设置为All requests，不要选择External requests或者None

2. 配置会话Cookie的属性 #

登录Keycloak管理后台，进入对应Realm，按以下路径操作：

• 找到「Realm settings」→ 「Security defenses」标签页
• 拉到「Cookies」配置区域：
  • 确认Cookie HttpOnly开关已经打开，该配置会统一给所有Keycloak会话类Cookie附加HttpOnly标识，直接覆盖KEYCLOAK_SESSION、KEYCLOAK_SESSION_LEGACY的对应属性
  • 确认Cookie Secure选项设置为true，部分版本Keycloak该配置会默认跟随Require SSL配置，单独设置为true可以强制开启，只要访问是HTTPS就会生效

3. 高版本特殊适配 #

如果你用的是Keycloak 17+的Quarkus版本，且Keycloak前端有反向代理，还需要检查启动参数：

• 启动时需要确保proxy-headers参数已经正确设置为forwarded或者xforwarded，否则Keycloak无法识别到前端代理传递的HTTPS协议，会误认为当前是HTTP访问，不会附加Secure标识
• 对应启动命令示例：./kc.sh start --proxy edge --proxy-headers xforwarded --hostname your-domain.com --https-enabled true

4. 生效验证 #

配置调整完成后，清空浏览器现有Cookie，重新登录门户，再检测Cookie属性即可看到两个标识已经正常附加。

内容的提问来源于stack exchange，提问作者user7439101