Aspire .NET + Keycloak容器部署：服务发现端点无法覆盖

问题分析 #

本地通过AppHost启动时服务发现正常，但Docker部署后环境变量Services__keycloak__http未生效，前端仍请求Keycloak内部IP的HTTPS地址，导致IDX20803无法获取OIDC配置错误。以下是针对性解决步骤：

1. 确保环境变量正确传递到前端容器 #

Aspire生成的Docker Compose配置中，需确认前端服务的environment节点包含Services__keycloak__http变量，或手动在docker-compose.yml中添加：

services:
  your-frontend-service:
    environment:
      - Services__keycloak__http=http://host.docker.internal:8080/realms/Test/.well-known/openid-configuration
    # 其他配置...

Linux环境下需额外添加宿主机映射，确保容器能解析host.docker.internal：

extra_hosts:
  - "host.docker.internal:host-gateway"

2. 前端正确读取Aspire服务发现配置 #

在前端项目的Program.cs中，必须通过Aspire的配置绑定获取Keycloak地址，禁止硬编码：

var keycloakUri = builder.Configuration.GetRequiredServiceUri("keycloak");
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = keycloakUri.AbsoluteUri.TrimEnd('/');
        options.Audience = "your-audience";
        // 其他OIDC配置...
    });

3. 修正Keycloak Realm的前端URL配置 #

Keycloak会在OIDC元数据中返回自身配置的前端地址，若Realm设置的Frontend URL为内部IP，前端会优先使用该地址而非Aspire传递的变量：

• 登录Keycloak管理后台，进入目标Realm（Test）
• 进入Realm Settings → General，设置Frontend URL为http://host.docker.internal:8080/realms/Test
• 保存后重启Keycloak容器，确保元数据返回正确的外部可访问地址

4. 检查Aspire AppHost的服务定义 #

在AppHost项目中，确保Keycloak服务适配Docker环境，或直接指定可访问地址：

var keycloak = builder.AddKeycloak("keycloak")
    .WithEndpoint(host: "host.docker.internal", port: 8080, scheme: "http")
    .WithEnvironment("KEYCLOAK_FRONTEND_URL", "http://host.docker.internal:8080/realms/Test");

5. 验证OIDC元数据可访问性 #

进入前端容器内部，执行curl命令测试网络连通性：

curl http://host.docker.internal:8080/realms/Test/.well-known/openid-configuration

若返回正常JSON配置，说明网络无问题；若失败，检查Docker网络配置或宿主机Keycloak运行状态。

内容的提问来源于stack exchange，提问作者Sam