基于SAML的Keycloak 3.4.2跨端SSO集成问题咨询

嘿，我之前帮团队处理过几乎一模一样的场景——iOS上Safari登录后，App内置WebView没法自动走Keycloak的SAML SSO，核心问题其实是iOS系统默认把Safari的Cookie存储和App内置WebView的Cookie池隔离开了，导致Keycloak的会话Cookie没法跨环境共享。针对你的Keycloak 3.4.2版本，我整理了一套可落地的解决方案：

第一步：先给Keycloak做适配配置 #

首先得让Keycloak生成的会话Cookie能被跨环境识别，这部分在后台配置：

• 登录Keycloak后台，进入目标Realm的「Realm Settings」→「Cookies」：
  • 把Cookie SameSite改成No Restriction（对应标准的SameSite=None，这是跨上下文共享Cookie的关键），同时必须勾选Secure（因为SameSite=None要求Cookie只能通过HTTPS传输，生产环境一定要开）
  • 把Cookie Path设为/，确保Cookie在整个Keycloak域名下都生效
  • 可以适当延长Cookie Max Age，避免会话过早过期影响测试
• 接着处理ClientB（App里WebView访问的客户端）的SAML配置：
  • 进入「Clients」→找到ClientB→「SAML Settings」
  • 把Force Authentication设为Off，这样Keycloak会优先用现有会话认证，不会强制用户重新登录
  • 检查Valid Redirect URIs必须包含App WebView的回调地址（比如通用链接对应的Scheme或域名，别漏了）

第二步：配置iOS App的WebView实现Cookie共享 #

这里分两种WebView类型，优先推荐WKWebView（UIWebView已经被苹果废弃了）：

针对WKWebView（iOS 8+，推荐） #

WKWebView默认用独立的进程池，要和Safari共享Cookie，得做这几个操作：

1. 用全局共享的WKProcessPool：
   初始化WebView时，不要每次都新建WKProcessPool，用一个全局的实例，这样WebView的Cookie存储能和Safari更顺畅地共享：

   // 在AppDelegate或者全局单例里定义共享池
   let sharedProcessPool = WKProcessPool()
   
   // 初始化WebView时用这个池
   let config = WKWebViewConfiguration()
   config.processPool = sharedProcessPool
   let webView = WKWebView(frame: view.bounds, configuration: config)
   

2. 手动同步Cookie（兜底方案）：
   如果共享进程池没生效，可以在WebView加载ClientB页面之前，把Safari里的Keycloak会话Cookie手动注入到请求头里：

   let clientBUrl = URL(string: "https://你的ClientB地址.com")!
   var request = URLRequest(url: clientBUrl)
   // 从系统Cookie存储里拿对应域名的Cookie
   if let cookies = HTTPCookieStorage.shared.cookies(for: clientBUrl) {
       let cookieHeaders = HTTPCookie.requestHeaderFields(with: cookies)
       request.allHTTPHeaderFields?.merge(cookieHeaders) { (existing, _) in existing }
   }
   webView.load(request)
   

3. 开启Shared Web Credentials能力：
   在Xcode的「Signing & Capabilities」里添加「Shared Web Credentials」，这个能力能让App和Safari共享认证相关的凭证，进一步提升会话共享的成功率。

针对UIWebView（iOS 12+已废弃，仅兼容老项目） #

UIWebView默认和Safari共享Cookie容器，所以配置起来简单：

• 在App的Info.plist里配置NSAppTransportSecurity，如果是HTTPS环境，直接添加对应域名的NSExceptionDomains；如果是HTTP（不推荐生产用），可以临时开NSAllowsArbitraryLoads
• 直接加载ClientB的URL就行，UIWebView会自动读取Safari里的Keycloak会话Cookie

第三步：测试验证 #

按照这个流程配置完后，测试步骤如下：

1. iPad上用Safari打开SiteA，完成登录，去Keycloak后台的「Users」→对应用户→「Sessions」确认会话存在
2. 点击通用链接打开App，看WebView加载ClientB时是否自动跳转到已登录页面
3. 如果还是不行，用Charles抓包看看：请求ClientB时有没有携带KEYCLOAK_SESSION这个Cookie，Keycloak返回的SAML响应是否正常

额外提醒：Keycloak 3.4.2确实有点老了，里面关于SAML和SameSite Cookie的处理可能有一些小bug，如果上述配置都试过还是不行，建议考虑升级到Keycloak 18+的LTS版本，新版本对跨环境会话共享的支持完善很多。

内容的提问来源于stack exchange，提问作者Sara Boschi