本地搭建Django对接Keycloak出现Invalid parameter: redirect_uri错误如何解决

核心误区修正 #

你之前修改的LOGIN_REDIRECT_URL、LOGIN_REDIRECT_URL_FAILURE均为Django默认的登录后跳转配置，不控制传给Keycloak的授权请求redirect_uri参数，这是配置不生效的核心原因。不同OIDC依赖包的redirect_uri配置项完全独立，需要针对性修改。 #

逐层排查步骤 #

• 第一步：确认依赖包对应的正确配置项
  目前主流对接依赖的配置项如下，直接在settings.py中添加对应配置即可：
  • 若使用mozilla-django-oidc：配置OIDC_RP_REDIRECT_URI参数
  • 若使用django-keycloak：配置KEYCLOAK_REDIRECT_URI参数
  • 若使用其他二开依赖，直接搜索依赖包代码中redirect_uri的赋值逻辑，反向找到对应的配置变量名
    配置示例：

  # 必须带协议头，和Keycloak配置完全一致
  OIDC_RP_REDIRECT_URI = "http://localhost:8000/oidccallback"
  

• 第二步：校验地址完全匹配
  传给Keycloak的redirect_uri必须和Keycloak客户端「有效重定向URI」的协议、域名、端口、路径完全一致，以下情况都会触发校验失败：
  • 缺协议头：仅填localhost:8000/oidccallback，未加http://前缀
  • 地址不统一：代码里用127.0.0.1，Keycloak里配localhost
  • 路径差异：代码回调路径为/oidc/callback，配置写为/oidccallback
  • 斜杠差异：配置末尾多斜杠或少斜杠
    本地测试可先将Keycloak客户端的「有效重定向URI」设为*，先排除地址匹配问题，功能跑通后再改回精确地址。
• 第三步：代理场景特殊配置
  如果你本地用了Nginx、反向代理工具，需要在settings.py中添加以下配置，避免Django生成redirect_uri时用内部服务地址：

  USE_X_FORWARDED_HOST = True
  # https场景加下面这行
  SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')
  

• 第四步：Keycloak客户端配置校验
  检查Keycloak对应客户端的基础配置：
  • 访问类型选择public（前端调用）或confidential（后端秘钥调用），不要选bearer-only
  • 「Web源」配置添加本地访问地址，避免CORS问题连带触发uri校验异常

临时应急方案 #

如果找不到对应配置项，可直接在生成Keycloak授权请求的代码处，硬编码传入redirect_uri参数，强制覆盖默认生成的地址。

内容的提问来源于stack exchange，提问作者qbush