Node.js Express集成Keycloak后登录成功出现无限重定向循环问题

Keycloak 服务端管控回调的核心配置项 #

Keycloak 存在多个直接管控回调重定向的配置项，全部在对应客户端的「设置」页签下配置：

• 有效重定向 URI（Valid Redirect URIs）：必须和应用侧指定的回调地址完全匹配，协议、域名、端口、路径必须完全一致，通配符仅可用于路径末尾。如果配置存在偏差，Keycloak 会拒绝回调请求或者重定向到错误地址，触发认证循环。
• Web Origins：跨域部署场景下必须配置为前端应用的域名，否则跨域限制会导致会话 Cookie 无法写入，认证状态无法保存。
• 访问令牌生命周期（Access Token Lifespan）：若该值设置小于1分钟，可能出现用户回调完成后令牌立即过期的情况，触发重复认证。

无限循环问题根因说明 #

你推测的302重定向清除请求头不是问题的根本原因：Standard Flow 流程的回调阶段本身不会携带 Authorization 请求头，keycloak-connect 中间件依赖回调路径携带的授权码 code 交换令牌，之后将认证状态存储在 Express Session 中。无限循环90%以上的概率是会话配置或者角色校验规则错误导致：

• 确认 Express Session 配置正确，不得使用默认的内存存储，生产环境必须配置持久化存储如 connect-redis、connect-mongo 等，否则多实例或者服务重启会直接丢失认证状态。

注意：keycloak-connect 完全依赖 Express Session 存储用户认证信息，Session 配置错误会导致每次请求都被识别为未认证用户，直接触发重定向循环。

• 若你调用 keycloak.protect() 时传入了角色参数，必须确认当前登录用户在 Keycloak 侧已经配置了对应角色的映射，角色校验失败也会触发重定向。
• 若应用前端有反向代理（如 Nginx），需要在 Express 中添加配置 app.set('trust proxy', true)，否则 keycloak-connect 自动生成的回调地址会和 Keycloak 中配置的有效重定向 URI 不匹配。

调试方法 #

• 打开浏览器开发者工具的「网络」标签，跟踪重定向流程，确认回调请求返回的 Set-Cookie 响应头正常，后续访问私有路由时请求头携带了对应的 Session Cookie。
• 在私有路由前添加调试中间件，打印 req.session 内容，确认回调完成后 Session 中存在 Keycloak 认证相关字段。

内容的提问来源于stack exchange，提问作者Callum