Keycloak认证场景下CORS配置引发302重定向问题求助

云原生阿岚

2026-4-13

哥们，我之前也踩过类似的坑，给你几个排查方向试试：

先检查OPTIONS预检请求是否被正确放行
跨域请求会先发送OPTIONS预检请求，这个请求是不带任何认证信息的。如果你的SecurityConfig里没给OPTIONS请求开绿灯，Keycloak会把它当成未认证请求，直接302重定向到登录页。你可以在配置里加这么一段：
```
.authorizeHttpRequests(auth -> auth
    .requestMatchers(HttpMethod.OPTIONS).permitAll()
    // 其他授权规则...
)
```
确认CORS配置是否支持凭证携带
如果你的前端请求需要带Cookie或者Authorization头，那你的CORS配置必须满足两个条件：一是allowedOrigins不能用*，得指定具体的前端域名（比如http://localhost:3000）；二是要开启allowCredentials(true)。要是这俩没配置对，浏览器会拦截响应，间接触发Keycloak的重定向逻辑。
检查Keycloak客户端的Web Origins配置
登录Keycloak后台，找到你的客户端，看看Web Origins字段是不是填对了前端的域名。这个字段是Keycloak用来判断跨域请求是否合法的，要是填错或者没填，Keycloak会拒绝跨域请求，进而导致302重定向。
确认API网关是否正确转发Origin头
有些网关会默认修改或者丢弃请求的Origin头，这会让Keycloak的CORS校验失败，最后触发重定向。你可以在网关的请求日志里看看Origin头有没有正确传到Keycloak那边。
排查前端是否正确携带认证信息
要是前端请求没在Header里带上Authorization: Bearer <token>，Keycloak自然会认为这是未认证请求，直接跳转到登录页。你可以在浏览器的Network面板里检查请求头，看看有没有正确携带令牌。