Keycloak SSO问题：重定向过多及Angular4会话创建后SSO失效

我之前也碰到过类似的Keycloak SSO在Angular4应用里的问题，结合你描述的场景，咱们一步步来排查和解决：

一、先排查SSO失效的核心原因 #

SSO失效通常和会话共享、Cookie配置、客户端设置强相关，你可以从这几个方向入手：

1. 检查Keycloak客户端的SSO基础配置 #

• 确保你的Angular应用和Grafana等其他应用都在Keycloak的同一个Realm下，且所有需要SSO的客户端都开启了SSO功能。
• 确认客户端的Access Type设置：Angular作为前端应用，必须设为public（无法安全存储客户端密钥）；Grafana这类服务端应用可以设为confidential，但关键是所有客户端都要开启Standard Flow Enabled（授权码流）。
• 仔细核对每个客户端的Valid Redirect URIs，比如Angular的回调地址要设为http://你的Angular域名/*，Grafana的要对应它的OAuth回调路径，绝对不能有拼写错误或者路径遗漏。

2. 验证会话Cookie的共享性 #

Keycloak的SSO完全依赖它在浏览器中设置的KEYCLOAK_SESSION、KEYCLOAK_IDENTITY等Cookie，这些Cookie必须能被所有SSO应用访问到：

• 确保所有应用的域名属于同域或子域，比如Angular在app.yourdomain.com，Grafana在grafana.yourdomain.com。此时需要在Keycloak的Realm设置里，找到Cookie选项，把Cookie Domain设为.yourdomain.com（注意前面的点，这样子域都能共享Cookie）。如果是HTTPS环境，记得开启Secure属性；同时可以把SameSite设为Lax或None（None必须配合Secure），避免浏览器的第三方Cookie限制。
• 检查浏览器是否阻止了第三方Cookie，现在很多浏览器默认会限制跨域Cookie，如果你的Keycloak域名和应用域名不同，可能需要临时调整浏览器设置来验证，或者在Keycloak里配置好SameSite属性。

3. 检查Keycloak-js的初始化配置 #

Angular里的Keycloak初始化配置如果有问题，会直接破坏SSO逻辑：

• 确保初始化时保留checkLoginIframe: true（默认是true，但有时候会被误改），这个参数会让Keycloak定期同步浏览器会话和服务器会话的状态。
• 不要手动设置token或refreshToken，完全交给Keycloak-js自动管理会话，避免自定义逻辑覆盖SSO机制。
• 给你一个参考的初始化代码（根据你的项目调整细节）：

const keycloakConfig = {
  url: 'http://你的Keycloak地址/auth',
  realm: '你的Realm名称',
  clientId: 'Angular应用的客户端ID'
};

const keycloak = new Keycloak(keycloakConfig);
keycloak.init({
  onLoad: 'login-required',
  checkLoginIframe: true,
  pkceMethod: 'S256' // 4.0.0版本已支持授权码流+PKCE，建议开启
}).success(authenticated => {
  if (authenticated) {
    // 初始化Angular应用
  }
}).error(error => {
  console.error('Keycloak初始化失败', error);
});

二、解决重定向次数过多的问题 #

重定向循环一般是会话状态不一致或回调配置错误导致的：

• 检查Angular的路由守卫（比如CanActivate），确保没有在登录成功后还无限重定向到登录页。守卫逻辑里要准确判断Keycloak的authenticated状态，避免逻辑冲突。
• 再次确认Keycloak客户端的Valid Redirect URIs，如果回调地址不存在或不匹配，Keycloak会重定向回应用，应用又跳去Keycloak，形成死循环。
• 检查Keycloak Realm的Base URL配置，确保和应用访问的URL协议（http/https）、域名一致，不要混用localhost和127.0.0.1（浏览器会把它们当成不同域名，导致Cookie无法共享）。

三、额外的排查小技巧 #

• 打开浏览器开发者工具的Network标签，跟踪登录和重定向的请求，看Keycloak返回的状态码和响应头，有没有401、302循环的情况，或者明确的错误提示。
• 查看Keycloak服务器的日志（默认路径/opt/keycloak/standalone/log/server.log），找客户端验证失败、会话无效这类相关日志，能快速定位问题。
• 先简化场景：用Angular+一个简单的服务端应用（比如Spring Boot）测试SSO是否正常，排除Grafana本身的OAuth配置问题（比如Grafana有没有正确指向Keycloak的授权、令牌端点）。

内容的提问来源于stack exchange，提问作者CGS