Keycloak CIBA认证报错“Failed to send authentication request”如何解决

第一步：优先开启Debug日志定位根因 #

该报错是Keycloak CIBA流程的通用错误提示，具体原因必须通过服务端日志确认：

1. 登录Keycloak管理后台，进入「日志」-「日志级别」配置页
2. 将org.keycloak.protocol.oidc.ciba、org.keycloak.authentication.authenticators.client两个包的日志级别调整为DEBUG
3. 重新发起CIBA请求，查看Keycloak服务端的日志输出，即可拿到具体的错误原因（比如SSL握手失败、通知端点不可达、参数缺失等）

常见配置遗漏排查 #

90%以上的该类报错都是CIBA专属配置未完成导致，可优先检查以下项：

• 检查CIBA通知模式配置：进入客户端的「CIBA政策」标签页，确认通知模式配置符合要求：
  • 若选择PING或PUSH模式：必须配置Backchannel Client Notification Endpoint（客户端接收CIBA通知的HTTPS接口），且该接口必须能被Keycloak服务器正常访问，无网络策略拦截、证书信任问题
  • 若选择POLL模式：无需配置通知端点，需在请求中显式携带client_notification_mode=poll参数
• 检查用户有效性：请求中login_hint对应的用户必须是当前realm中已启用、未锁定的真实用户
• 检查客户端权限：确认客户端已开启CIBA Enabled开关，且openid已加入客户端允许的Scope列表
• 检查证书信任：若使用PING/PUSH模式且通知端点为自签名HTTPS，需将端点证书导入Keycloak运行的JVM信任库，否则SSL握手失败会触发该报错

快速验证方案 #

可先通过POLL模式验证基础CIBA流程是否正常，排除其他配置问题：

1. 将客户端CIBA通知模式调整为POLL
2. 发起如下测试请求：

curl -s -X POST \
-d "client_id=ciba_client_test" \
-d "client_secret=xxx" \
-d "login_hint=test_user_name" \
-d "scope=openid" \
-d "client_notification_mode=poll" \
"https://keycloak.address.com/auth/realms/poc_new/protocol/openid-connect/ext/ciba/auth"

若请求正常返回auth_req_id、expires_in、interval参数，说明基础CIBA配置无问题，再按需调整PING/PUSH模式的通知相关配置即可。

内容的提问来源于stack exchange，提问作者timalive