Spring Boot Security and Keyclope-使用HTTPS成功登录后接收403禁止/sso/登录

Question

我有一个Spring Boot应用程序，使用Spring Security和Keyclope作为IDP。

Keyclope在以下位置可用https://auth.example.com，具有一个具有html" target="_blank">客户端backo核心的领域backo和一个配置了所需角色的testuser。

如果我配置本地应用程序，请使用

keycloak.enabled=true
keycloak.auth-server-url=https://auth.example.com/auth
keycloak.realm=backo
keycloak.public-client=true
keycloak.resource=backo-core
keycloak.ssl-required=external
keycloak.confidential-port=443

一切正常。

如果我将其部署到我的开发环境中https://backo.example.com/backo具有https://backo.example.com/sso/login，当访问应用程序时，我会重定向到KeyClope登录。成功登录后，我被重定向到带有状态、会话状态和代码参数的重定向URL，但收到403。https://backo.example.com/sso/login?state=...

如果我在本地设置keydepage。ssl required=all，访问登录页面时的redirect\u url参数为https://localhost/sso/login，因此我可以手动将其更改为http://localhost:8080/sso/login.成功登录后，我遇到了与403禁止响应完全相同的问题http://localhost:8080/sso/login?state=...

请求启动器链来自https://auth.example.com/auth/realms/backo/login-action/authenticate?...

这就是我的安全配置的样子

protected void configure(HttpSecurity http) throws Exception {
            super.configure(http);
            http
                .authorizeRequests()
                .antMatchers("/backo").hasAnyRole(ROLE_ADMIN, ROLE_BACKOFFICE)
                .anyRequest().permitAll();

            http.csrf().disable();
            http.headers().frameOptions().disable(); // otherwise Vaadin doesn't work properly

            http
                .logout()
                .addLogoutHandler(keycloakLogoutHandler())
                .logoutUrl("/sso/logout").permitAll()
                .logoutSuccessUrl("/");
        }

您可以忽略这个Vaadin解决方案，因为它已经在/sso/login中失败了。http。csrf（）。禁用（）；需要防止授权时post请求中的其他403禁止错误。

值得一提的是：Spring Boot应用程序没有启用HTTPS，在我们的开发环境中，它位于AWS应用程序负载平衡器ALB的后面。HTTPS在ALB中终止。

Answer 1

三天前，我们在spring boot thymeleaf应用程序中遇到了类似的问题。我们已经使用KeyClope适配器（13.0.1）进行Spring Boot。

成功登录后，它重定向到/sso/login页面，出现403错误。

经过大量努力，我们终于获得了修复此问题所需的配置。您需要使用以下应用程序属性：

server.use-forward-headers=true
keycloak.public-client=true
keycloak.ssl-required=all
keycloak.confidential-port=443