来自rest api的keycloak登录已被CORS阻止

Question

我正在尝试使用keycloak从现有的localhost(localhost:3000)登录页面进行登录。Keycloak在另一台主机上运行(http://kchost:38080)。我知道这不是推荐的登录方式，但我需要尽快适应现有的系统。

尝试卷曲：

    curl --location --request POST 'http://kchost:38080/auth/realms/myrealm/protocol/openid-connect/token' \
        --header 'Content-Type: application/x-www-form-urlencoded' \
        --data-urlencode 'client_id=publictestclient' \
        --data-urlencode 'username=myuser' \
        --data-urlencode 'password=mypass' \
        --data-urlencode 'grant_type=password'

axios.defaults.httpsAgent = new https.Agent({ rejectUnauthorized: false })
axios.defaults.crossDomain = true;

await axios({
            method: "POST",
            url: 'http://kchost:38080/auth/realms/myrealm/protocol/openid-connect/token',
            headers: {
               "Content-Type": "application/x-www-form-urlencoded;charset=UTF-8",
               'Access-Control-Allow-Origin': '*'
            },
            data: {
               client_id: 'publictestclient', 
               username: 'myuser', 
               password: 'mypass', 
               grant_type: 'password', 
           }
})

错误是：CORS策略阻止了从来源“http://localhost:3000”访问位于“http://kchost:38080/auth/realms/myrealm/protocol/openid-connect/token”的XMLHttpRequest：请求头字段Access-Control-Allog-Origin不允许在飞行前响应中使用Access-Control-Allog-Headers。

如果省略标头'access-control-allog-origin':'*'，则错误为：从起源'http://localhost:3000'访问位于'http://kchost:38080/auth/realms/myrealm/protocol/openid-connect/token'处的XMLHttpRequest已被CORS策略阻止：请求的资源上没有'access-control-allog-origin'标头。

在Keycloak管理端，客户端具有访问类型“public”，以避免“客户端机密”要求。已启用直接访问授权。尝试了“Web来源”和“有效重定向URL”的不同配置，当前的配置是：

valid redirect url: localhost*
web origins: *

我很确定这是一个与服务器配置有关的问题。我怎么解决？

Answer 1

有效的重定向url前面应该有http或https。因此，对于localhost的有效值可以是:https://localhost/*如果您想确保其安全，web起源应该类似于https://localhost。