如何用Authlib配置Superset的Keycloak SSO并解决MismatchingStateError报错

这个错误是OAuth认证流程中，请求阶段存储在本地Session的state参数，和Keycloak回调返回的state参数不一致导致的，可按照以下步骤排查解决：

• 配置正确的Cookie与访问协议 #

  反向代理部署场景下，除了已配置的ENABLE_PROXY_FIX = True，还需要补充以下配置确保Superset识别正确的访问协议和Cookie属性：

  # 确保回调地址使用和外部访问一致的HTTPS协议
  PREFERRED_URL_SCHEME = 'https'
  # 配置Cookie安全属性，跨站部署时将SAMESITE改为'None'
  SESSION_COOKIE_SECURE = True
  SESSION_COOKIE_HTTPONLY = True
  SESSION_COOKIE_SAMESITE = 'Lax'
  

• 校验Keycloak重定向URI配置 #

  Keycloak客户端中配置的有效重定向URI必须和Superset的回调地址完全匹配，Superset默认的Keycloak回调路径为/oauth-authorized/keycloak，例如你的Superset外部访问地址为https://superset.example.com，则Keycloak中需要填入的重定向URI为：

  https://superset.example.com/oauth-authorized/keycloak
  

  不允许出现HTTP/HTTPS协议不一致、域名/端口不匹配、路径缺失的情况。

• 豁免OAuth回调路径的CSRF校验 #

  将OAuth回调路径加入CSRF校验豁免列表，避免Superset自带的CSRF校验拦截回调请求：

  WTF_CSRF_EXEMPT_LIST = [
      r'/oauth-authorized/.*'
  ]
  

• 多节点部署配置共享Session存储 #

  如果是多实例部署Superset，默认的本地Session存储会导致请求和回调落到不同节点时无法读取到state参数，需要配置Redis作为共享Session后端：

  from redis import Redis
  SESSION_TYPE = 'redis'
  SESSION_REDIS = Redis(host='Redis实例地址', port=6379, password='Redis密码', db=0)
  

  配置前需要先安装redis依赖：pip install redis

• 检查依赖版本兼容性 #

  部分高版本Authlib和Superset依赖的Flask-AppBuilder存在兼容问题，可降级到兼容版本测试：

  pip install authlib==1.2.0
  

内容的提问来源于stack exchange，提问作者Magnocube