Python Dash应用对接Keycloak后外部访问跳转内部地址如何解决？

1. 先配置反向代理透传头部 #

反向代理需要将外部访问的协议、域名、端口信息通过标准转发头传递给内网Dash服务，以下是Nginx反向代理的参考配置：

location / {
    proxy_pass http://internal.local.org:你的Dash监听端口;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host $host;
    proxy_set_header X-Forwarded-Port $server_port;
}

如果用的是其他反向代理（比如Apache、Traefik），对应配置同类转发头即可。

2. Dash应用开启代理头部识别 #

Dash底层基于Flask实现，默认不会信任反向代理传递的转发头，需要引入ProxyFix中间件修正请求地址：

from dash import Dash
from werkzeug.middleware.proxy_fix import ProxyFix

app = Dash(__name__)
# 参数值根据你反向代理的层数调整，单级反向代理保留以下配置即可
app.server.wsgi_app = ProxyFix(
    app.server.wsgi_app,
    x_for=1,
    x_proto=1,
    x_host=1,
    x_port=1,
    x_prefix=1
)

3. 修正Keycloak对接的重定向地址配置 #

不要硬编码内网地址作为回调地址，两种可选配置方式：

• 方式一：直接固定写死外部访问地址，适合外部地址固定的场景
  如果你用的是dash-keycloak库，初始化时直接指定redirect_uri参数：

from dash_keycloak import Keycloak

auth = Keycloak(
    app,
    # 其余配置（realm、client_id、client_secret等）省略
    redirect_uri="https://你的外部访问域名/callback"
)

如果用的是其他Keycloak SDK（比如python-keycloak、flask-oidc），对应修改回调地址配置项即可。

• 方式二：动态从请求头获取地址，适合多域名访问的场景
  生成回调地址时通过Flask的request对象动态拼接：

from flask import request
redirect_uri = f"{request.host_url}callback"

4. 校验Keycloak侧配置 #

• 你的Keycloak客户端配置的有效重定向URI列表，必须添加外部回调地址（比如https://你的外部访问域名/*）
• 如果Keycloak本身也是通过反向代理对外暴露，需要在对应Realm的设置中，将前端URL配置为Keycloak的外部访问地址，避免授权页面跳转内网。

内容的提问来源于stack exchange，提问作者oTTo001