Keycloak重复“访问控制允许来源”导致cors错误

Question

我在React前端使用keycloak-js适配器时遇到了一个问题。

登录后，/token 终结点上重复的“访问控制-允许-源”会导致 CORS 错误：

CORS策略阻止了从源https://example.comhttps://accounts.example.com/auth/realms/myRealm/protocol/openid-connect/token对XMLHttpRequest的访问：访问控制允许源标头包含多个值https://example.com , *', 但只允许一个。

响应标头：

Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Origin: *
Access-Control-Expose-Headers: Access-Control-Allow-Methods

Keycloak 9在https://accounts.example.com的Nginx代理下以独立模式运行。

keycloak-js适配器配置：

{
  "realm": myRealm,
  "url": https://accounts.example.com/auth,
  "clientId": myClientId,
  "enable_cors": true
}

我已经尝试了客户端“Web Origins”的多种组合：

https://example.com、*和，但我不明白为什么我得到了一个额外的头访问控制允许原点：。

Answer 1

*对于运行在https上的站点而言，对于访问控制允许原点，该值无效。

从KeyClope中的web origins客户端配置中删除*，并显式配置所有使用的web origins（无wildchars）。

Answer 2

我们发现我们自己的代理也在编写访问控制允许源标题。这就是为什么我们和Keyclope一起得到了两次。

我们的devops团队已经修复了我们的代理代码，现在它可以工作了。