密钥斗篷中的授权代码授予流

Question

我是这方面的新手，读了很多之后，我觉得我不太明白如何在Keycloak中实现授权代码流。我的疑惑:

> < li>

在创建了支持此流程的客户端后，如何执行凭据验证？默认情况下，如果我不做任何配置，我会得到一个登录表单。如果我在浏览器中打开这个html，并填写用户和密码字段，当我按下按钮时，它会将我发送到一个类型为.../realm/{ REAL _ NAME }/log in-actions/authenticate？session_code= ... "但我不明白这是否应该工作(似乎没有)，或者是否需要其他东西，如添加身份提供者。

如果有必要添加一个提供商，您如何添加一个非外部的提供商，如Google、Facebook等？我已经看到了Keyclock OpenID Provider选项，但我不太清楚应该在授权endpoint、令牌endpoint、客户端等字段中放置什么。我应该使用现有客户端还是生成新客户端？

如果问题看起来很明显，我很抱歉，但是如果不使用外部IDP，我无法解决问题并实现整个流程。提前感谢！

Answer 1

非常感谢您的回答。

我的解释可能不是很准确，我会提供更多细节。我有一个客户端配置为 openid 连接并启用了标准流程。例如，当我提出第一个请求时：

curl -v -d "scope=openid&client_id=backend&response_type=code&redirect_uri=https://www.example.com/callback" -H "Content-Type: application/x-www-form-urlencoded" -X POST localhost:8180/auth/realms/myrealm/protocol/openid-connect/auth

我收到一个带有登录表单的HTML。我的问题从这里开始（可能是因为我没有在为此设计的流程中使用浏览器）。如果我将这个html存储在一个文件中，我在浏览器中打开它并尝试输入用户名和密码，我收到一个错误。如果我打开HTML代码，我可以看到以下操作：

http://localhost:8180/auth/realms/myrealm/login-actions/authenticate?session_code=r8p94ca0Umrc-S9BMPC_U168Vmc9y_KESCEI_dHk52I&execution=b47d36ec-2b7d-4ec3-aaf7-cf68ca5d2380&client_id=backend&tab_id=9UEVmEJPLio

所以我明白我可以通过发送 POST 请求来继续该过程，但我不能（我得到一个带有错误 HTML 的 400）。我的疑问是，是否应该能够在不配置任何身份提供程序的情况下完成此默认身份验证？我明白是的，但是如何？

如果我尝试另一个流作为凭据，我会毫无问题地获得access_token，但使用授权代码流，我无法通过登录表单。

编辑：当我写一个问题时，我可以看到编辑器中的所有行，但是当它发布时，第一行消失了（我打招呼的地方），这就是为什么我看起来如此粗鲁，我很抱歉！

Answer 2

1. 您的客户端（应用程序）需要支持oauth（或saml）。在keyclock中创建一个客户端。您使用keyclok设置（url、id、key？）配置应用程序。您的客户端将用户发送到keyclock。用户登录到keyclok，并将被发送回您的应用程序。可以实现自己的登录表单，并通过api将数据发送到keyclock。我会采用第一种方法。(https://www.keycloak.org/docs/latest/server_admin/#_clients)
2. 您想在没有外部提供程序的情况下试用keyclock，但想使用外部提供程序？我创建了两个领域。在realm1中，我添加了一个客户端（saml或oauth，无论您喜欢什么）。在realm2中，我添加了一个Identity Provider，这是我在realm1客户端中设置的东西。现在我可以使用realm1中的用户登录realm2。如果您想使用外部身份提供者（如FB或公司拥有的身份提供者），只需执行第二步，然后添加身份提供者。(https://www.keycloak.org/docs/latest/server_admin/#_identity_broker)