如何将Spring Boot中的Keyclope与不同的上下文根和反向代理集成

Question

我们目前正在开发一个使用Spring Boot 1.4和Keyclope 2.5.0（配置为openid连接服务）的微服务应用程序，使用Keyclope Spring适配器（而不是Spring Boot适配器）。

我们所有的微服务都放在一个负载平衡器和一个额外的反向代理之后，因为应用程序将托管在一个上下文根后面的现有域上（因此我们的应用程序的根是http://foo.bar/foobar/剩下的服务是http://foo.bar/foobar/rest/)。

在这个给定的场景中，我们面临着关键斗篷的几个问题：

1. 如果需要登录，则将Keycloak转发到 /sso/login。在我们的情况下，这是不必要的行为，因为http://foo.bar/sso/login将不存在。我已经找到了改变转发的方法，但没有办法让Keycloak监听相同的url；在这种情况下，我们最终得到了404。
2. 登录后，Keycloak重定向回具有正确令牌的 /sso/loginurl，但如果这不是同一台服务器，请求将失败，并将我们重定向到http://foo.bar/.由于每个微服务都公开 /sso/login，这实际上可能是一个完全不同的服务器。
3. 如果密钥斗篷托管在同一个域上，我们最终会进入重定向循环。我们还希望密钥斗篷托管在同一个域和上下文根http://foo.bar/foobar/auth/上。

我们已经尝试使用"Token-store"："cookie"，但这并不能解决问题。

是否有解决这些问题的方法，或者Keyclope可能不是我们用例的正确解决方案？

更新05/05/2017：将我的答案从这里移动到答案

Answer 1

我们现在已经启动并运行了Keyclope，所以我将简要解释一下我们所做的工作。我们的应用程序的前端运行Angular2，我们在Angular应用程序本身中创建了一个自定义登录页面（因此它不是Keyclope的主题），该页面将直接查询Keyclope API以获取OAuth2承载令牌。前端将在授权标头中的每个请求上发送此令牌（根据OAuth标准）。在服务端，我们已经将key斗篷配置为仅承载解决方案（key斗篷.json中的仅承载：true），这样应用程序只返回401或403，而不是转发到登录页面。

使用此配置，用户将永远不会从 /sso/login页面看到任何内容，也不再存在重定向问题。

太长，读不下去了我描述的用例也不现实，调用REST URL然后转发到登录页面是一种糟糕的事情：）