Nginx代理下Docker部署Keycloak添加CSP头后无法进入管理后台问题

问题根因 #

模板变量未正常渲染是CSP规则限制导致，同时你配置的CSP存在拼写错误，双重原因触发故障。

排查解决步骤 #

1. 修正CSP拼写错误

你当前配置中的fame-ancestors为拼写错误，正确字段为frame-ancestors，拼写错误会导致该条规则完全失效，优先修正。

2. 补充Keycloak运行必需的CSP规则

Keycloak管理控制台依赖内联脚本、内联样式以及eval语法做模板渲染，你当前配置的default-src 'self'默认禁止了这三类行为，所以页面模板没有被正常解析，直接输出了原始的变量字符串。
调整后的Nginx CSP配置参考如下：

add_header Content-Security-Policy "default-src 'self'; frame-ancestors 'self'; object-src 'none'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline';";

3. 避免双重CSP冲突

Keycloak服务本身默认会返回CSP响应头，如果Nginx侧也添加了CSP头，浏览器会同时生效两组规则，仅取交集生效，很容易出现异常，可以二选一处理：

• 方案1：关闭Nginx侧的CSP配置，直接在Keycloak管理后台的「Realm Settings - Security Defenses」中配置CSP规则
• 方案2：在Nginx反向代理配置中添加proxy_hide_header Content-Security-Policy;，隐藏Keycloak返回的CSP头，仅保留Nginx侧配置的规则

4. 验证配置

修改配置后重载Nginx，清空浏览器缓存重新访问Keycloak管理后台，打开浏览器开发者工具的控制台标签，确认没有CSP相关报错即可。

内容的提问来源于stack exchange，提问作者SturmCamper