Keycloak部署于F5负载均衡后，.well-known配置返回HTTP端点问题求助

我之前处理过一模一样的场景，这问题本质是Keycloak不知道自己处于反向代理（F5）之后，所以它会用自身内部的HTTP协议来生成.well-known/openid-configuration里的端点URL，导致公网客户端拿到的是HTTP地址，无法正常用HTTPS通信。

给你两个靠谱的解决方案，按需选择就行：

方案一：直接指定Keycloak的前端URL #

这是最直接的方式，强制Keycloak用公网的HTTPS地址生成所有端点：

• 如果是传统WildFly版本的Keycloak（standalone模式），启动时添加JVM参数：

  ./standalone.sh -Dkeycloak.frontendUrl=https://你的公网域名/auth
  

  注意把你的公网域名换成实际的域名，/auth是Keycloak默认的上下文路径，如果你的部署改了路径就对应调整。
• 如果是Docker部署的Keycloak，在启动命令或docker-compose.yml里添加环境变量：

  environment:
    - KEYCLOAK_FRONTEND_URL=https://你的公网域名/auth
  

方案二：配置反向代理头部+开启Keycloak的代理支持 #

这种方式适合需要动态适配域名，或者有多个域名指向同一Keycloak实例的场景：

1. 在F5上配置转发HTTP头：
   确保F5向Keycloak转发请求时携带以下头部：
   • X-Forwarded-Proto: https
   • X-Forwarded-Host: 你的公网域名
   • X-Forwarded-Port: 443
2. 开启Keycloak的代理地址转发：
   • 传统WildFly版本：找到Keycloak配置文件（比如standalone.xml或standalone-ha.xml），定位到Undertow子系统的<http-listener>节点，开启proxy-address-forwarding：

     <subsystem xmlns="urn:jboss:domain:undertow:12.0">
       <server name="default-server">
         <http-listener name="default" socket-binding="http" proxy-address-forwarding="true"/>
         <!-- 其他配置... -->
       </server>
     </subsystem>
     

   • Quarkus版本的Keycloak：在application.properties里添加以下配置：

     quarkus.http.proxy.address-forwarding=true
     quarkus.http.ssl.proxy-protocol=https
     

配置完成后重启Keycloak，再访问https://你的公网域名/auth/realms/你的领域/.well-known/openid-configuration，就能看到所有端点的协议都是HTTPS了。

内容的提问来源于stack exchange，提问作者Arun Velayudhan