Keycloak重复的“访问-控制-允许-起源”导致cors错误

Question

我在React前端使用keycloak-js适配器时遇到了一个问题。

登录后，/tokenendpoint上重复的'Access-Control-Allow-Origin'会导致CORS错误：

CORS策略阻止从来源“https://example.com”访问位于“https://accounts.example.com/auth/realms/myrealm/protocol/openid-connect/token”的XMLHttpRequest：“access-control-allog-origin”标头包含多个值“https://example.com,*”，但只允许一个值。

响应标头：

Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Origin: *
Access-Control-Expose-Headers: Access-Control-Allow-Methods

KeyCloak9以独立模式运行在https://accounts.example.com上的Nginx代理后面。

keycloak-js适配器配置：

{
  "realm": myRealm,
  "url": https://accounts.example.com/auth,
  "clientId": myClientId,
  "enable_cors": true
}

Answer 1

*不是运行在HTTPS上的站点的Access-Control-Allow-Origin的有效值。

从Keycloak中的web origins客户机配置中删除*，并显式配置所有使用的web Origine，（不使用wildchars）。