Odoo13与Keycloak集成后出现Access Denied错误问题求助

问题根因定位 #

1. Odoo OAuth提供者配置参数不匹配 #

• 检查Client ID是否和Keycloak中创建的客户端ID完全一致，大小写敏感
• 确认Keycloak客户端的Valid Redirect URIs配置包含Odoo的域名+/auth_oauth/signin路径，末尾不要漏加/，本地测试也要包含http://localhost:8069/auth_oauth/signin这类地址
• 核对Odoo端配置的验证URL、用户信息URL是否为Keycloak对应Realm的正确地址，注意Realm名称不要写错

2. Keycloak客户端范围配置缺失 #

• 进入Keycloak对应客户端的「Client Scopes」标签，确认email、profile两个范围已被添加到Assigned Default Client Scopes中
• 检查客户端的「Mappers」配置，确保已添加user attribute类型的映射，将Keycloak的email、username、name字段映射到ID Token和User Info响应中，且映射的字段名和Odoo OAuth模块预期的字段一致

3. Odoo用户匹配规则不符合预期 #

• 确认Keycloak登录用户的邮箱地址，已在Odoo系统中存在对应用户，且用户的「允许OAuth登录」开关已开启
• 如果是首次登录自动创建用户的场景，检查Odoo OAuth模块的自动创建用户权限是否开启，Keycloak返回的用户信息中必须包含合法且唯一的邮箱字段

4. 签名校验配置错误 #

• 确认Keycloak客户端的「Access Token Signature Algorithm」配置为RS256，且Odoo端已正确配置对应的公钥
• 若使用公钥校验，检查Odoo OAuth提供者配置中的「公钥」字段是否和Keycloak Realm设置的「Keys」标签下RS256算法对应的公钥完全一致，不要带开头的-----BEGIN PUBLIC KEY-----和结尾的-----END PUBLIC KEY-----标记

调试验证方法 #

• 开启Odoo的debug日志，启动时添加参数--log-level=debug，查看OAuth回调阶段的日志输出，确认Odoo拿到的响应内容、错误提示
• 可临时修改Odoo的auth_oauth模块代码，在signin方法中打印Keycloak返回的用户信息响应，确认是否能正常拿到数据

常见修复示例 #

如果是字段映射问题，可在Keycloak客户端添加自定义用户属性映射：

1. 进入客户端「Mappers」页，点击「Create」
2. Mapper Type选择User Property
3. Property填email，Token Claim Name填email，勾选「Add to userinfo」
4. 同理添加username、name的映射配置

内容的提问来源于stack exchange，提问作者Ashishya Valluri