Keycloak+Nginx反向代理后重定向URL为HTTP而非HTTPS问题求助

这问题我碰到好多次了，本质是你的.NET Core应用没正确识别反向代理传来的HTTPS协议信息，导致生成的redirect_uri还是HTTP格式，和Keycloak里配置的HTTPS重定向URL不匹配。下面一步步来解决：

1. 配置.NET Core应用信任反向代理头部 #

你的应用运行在Nginx后面，需要通过UseForwardedHeaders中间件读取Nginx传递的头部，才能知道外部请求是HTTPS的。以.NET 6+的Program.cs为例：

var builder = WebApplication.CreateBuilder(args);

// 配置ForwardedHeaders，读取反向代理传递的协议和IP信息
builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = 
        ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 添加你的Nginx服务器IP，避免恶意头部伪造
    options.KnownProxies.Add(IPAddress.Parse("192.168.1.100")); // 替换为实际Nginx IP
    // 本地测试可以用IPAddress.Loopback
});

// 认证服务配置
builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    options.Authority = "https://your-keycloak-domain/auth/realms/your-realm"; // Keycloak的HTTPS地址
    options.ClientId = "your-client-id";
    options.ClientSecret = "your-client-secret"; // 保密客户端才需要填
    options.ResponseType = "code";
    options.SaveTokens = true;
    options.CallbackPath = "/signin-oidc";
    options.RequireHttpsMetadata = true; // 强制使用HTTPS，必须开启
    // 无需手动设置RedirectUri，应用会自动根据请求生成（前提是ForwardedHeaders配置正确）
});

var app = builder.Build();

// 注意：必须在UseAuthentication和UseAuthorization之前调用UseForwardedHeaders
app.UseForwardedHeaders();

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();

app.UseAuthentication();
app.UseAuthorization();

// 端点配置...
app.Run();

2. 调整Nginx反向代理配置 #

确保Nginx转发请求时，正确传递关键头部，让.NET Core能获取到真实的协议信息。示例配置：

server {
    listen 443 ssl;
    server_name your-app-domain.com;

    ssl_certificate /path/to/your/ssl/cert.pem;
    ssl_certificate_key /path/to/your/ssl/key.pem;

    location / {
        proxy_pass http://localhost:5000; // 你的.NET Core应用的HTTP地址
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme; // 核心：传递HTTPS协议标识
        proxy_set_header X-Forwarded-Host $host;
    }
}

# 可选：把所有HTTP请求重定向到HTTPS
server {
    listen 80;
    server_name your-app-domain.com;
    return 301 https://$host$request_uri;
}

3. 验证Keycloak客户端配置 #

登录Keycloak管理控制台，找到你的应用客户端：

• 检查Valid Redirect URIs是否设置为HTTPS格式，比如https://your-app-domain.com/*，不要包含HTTP地址
• 确保Web Origins配置正确，比如https://your-app-domain.com（生产环境不建议用*）

4. 测试验证 #

重启Nginx和.NET Core应用，访问你的HTTPS应用地址触发登录流程。此时查看浏览器地址栏里的Keycloak登录URL，redirect_uri参数应该已经是HTTPS格式，Keycloak也不会再提示重定向URL无效了。

内容的提问来源于stack exchange，提问作者Atulya Nair