参数: redirect _ uri 无效

您需要检查密钥斗篷管理控制台的前端配置。它必须被错误地配置为重定向 URL 和 web 起源。

我遇到了无效参数: redirect _ uri 问题，同时遵循了 http://www.baeldung.com/spring-boot-keycloak中提供的弹簧启动和密钥斗篷示例。当从密钥斗篷服务器添加客户机时，我们必须为该客户机提供重定向 URI，以便密钥斗篷服务器可以执行重定向。 当我多次面临同样的错误时，我从密钥斗篷服务器控制台复制正确的 URL，并在有效的重定向 URI 空间中提供 URL，它工作得很好！

转到 keyclopadmin 控制台 > SpringBootKey枕 > Cients > login-app 页面。 在有效-重定向 URIS 部分添加 Http://localhost:8080/sso/login

这将有助于解决间接尿素问题

登录 Key枕管理控制台网站，选择领域及其客户端，然后确保客户端的所有 URI 都带有协议前缀，例如，带有 http://。例如 http://localhost:8082/*

解决这个问题的另一种方法是，查看钥匙斗篷服务器控制台的输出，找到说明请求被拒绝的行，从中复制 redirect_uri显示的值，并将其粘贴到钥匙斗篷管理控制台网站的客户端的 * Valid Redirect URIs字段中。那么请求的 URI 就是可接受的 URI 之一。

如果您因为创建了一个新的领域而得到这个错误

您可以直接更改 URL 栏中的 URL 以避免此错误。在你被重定向到的 URL 中(你可能需要在 Chrome dev 工具中查找这个 URL) ，将领域从 master改为你刚刚创建的那个，如果你没有使用 https，那么确保 redirect _ uri 也在使用 http。

如果因为试图在面向公共的域(而不是 localhost)上设置 Keycon 而出现此错误

步骤1) 按照 这份文件设置 MySql 数据库(链接中断)。如果您找到了一些适合您的好的替代文档，请随意更新此链接并删除此消息)。您可能还需要参考 这份文件。

步骤2) 运行命令 update REALM set ssl_required = 'NONE' where id = 'master';

注: 在这一点上，你应该能够在技术上登录，但是 Keycloak 的4.0版本使用 https 来重定向 uri，尽管我们刚刚关闭了 https 的支持。在“钥匙斗篷”解决这个问题之前，我们可以使用反向代理来解决这个问题。反向代理是我们想要用来轻松创建 SSL/TLS 证书而不必担心 Java 密钥存储库的东西。

注2: 在写完这些指令之后，钥匙斗篷推出了自己的代理服务器。然后他们停止了对它的支持，并建议使用 Oauth2代理代替。它缺少一些 Key枕代理具有的特性，并且该代理的一个非官方版本仍在维护 给你。我还没有尝试使用这两种代理，但是在这一点上，您可能希望停止遵循我的指示，而是使用其中之一。

步骤3) 安装 Apache。我们将使用 Apache 作为反向代理(我试过 NGINX，但是 NGINX 有一些限制)。请参阅 好吃的安装 Apache(CentOs 7)和 Apt-get install Apache(Ubuntu 16) ，或者查找特定发行版的说明。

步骤4) 运行 Apache

• 使用 sudo systemctl start httpd(CentOs)或 sudo systemctl start apache2(Ubuntu)

• 使用 sudo systemctl status httpd(CentOs)或 sudo systemctl status apache2 (Ubuntu)检查 Apache 是否正在运行。如果你看到绿色文字的字 active (running)或如果最后一个条目读取 Started The Apache HTTP Server.，那么你是好的。

步骤5) 我们将使用反向代理建立一个 SSL 连接，然后反向代理将通过 http 与 keyCloak 通信。因为这个 http 通信发生在同一台机器上，所以您仍然是安全的。我们可以使用 Certbot设置自动更新证书。

如果这种类型的加密不够好，并且你的安全策略需要端对端加密，你将不得不弄清楚如何使用 通过 WildFly 设置 SSL，而不是使用反向代理。

注: 我实际上从来没有能够让 https 与管理门户正常工作。也许这只是我正在使用的钥匙斗篷4.0测试版中的一个 bug。您应该能够将 SSL 级别设置为只对外部请求需要它，但是这似乎不起作用，这就是为什么我们在步骤 # 2中将 https 设置为无。从现在开始，我们将继续使用 SSH 隧道上的 http 来管理管理设置。

步骤6) 每当您尝试通过 https 访问站点时，您将触发一个 HSTS 策略，该策略将自动强制 http 请求重定向到 https。按照这些说明到 从 Chrome 中清除 HSTS 规则，然后暂时不要再访问站点的 https 版本。

步骤7) 配置 Apache。在下面的代码块中添加虚拟主机配置。如果您从来没有这样做过，那么首先您需要做的是找出在哪里添加这个配置文件。

在 RHEL 和其他一些发行版上
你需要找到你的 httpd.conf or apache2.conf file is located。该配置文件应该从另一个文件夹(如 conf.d)加载虚拟主机配置文件。

如果你正在使用 Ubuntu 或 Debian,
您的配置文件将位于 /etc/apache2/sites-available/中，您还需要通过运行命令 sudo a2ensite name-of-your-conf-file.conf来启用它们。这将在 /etc/apache2/sites-enabled/中创建一个符号链接，这是 Apache 在 Ubuntu/Debian 上查找配置文件的地方(请记住，配置文件放在站点中——可用，稍有不同)。

所有发行版
找到配置文件后，更改或添加配置文件中的下列虚拟主机条目。确保不会覆盖由 certbot 生成的已经存在的 SSL 选项。完成之后，您的配置文件应该是这样的。

<VirtualHost *:80>
RewriteEngine on


#change https redirect_uri parameters to http
RewriteCond %{request_uri}\?%{query_string} ^(.*)redirect_uri=https(.*)$
RewriteRule . %1redirect_uri=http%2 [NE,R=302]


#uncomment to force https
#does not currently work
#RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI}


#forward the requests on to keycloak
ProxyPreserveHost On
ProxyPass / http://127.0.0.1:8080/
ProxyPassReverse / http://127.0.0.1:8080/
</VirtualHost>


<IfModule mod_ssl.c>
<VirtualHost *:443>
RewriteEngine on


#Disable HSTS
Header set Strict-Transport-Security "max-age=0; includeSubDomains;" env=HTTPS




#change https redirect_uri parameters to http
RewriteCond %{request_uri}\?%{query_string} ^(.*)redirect_uri=https(.*)$
RewriteRule . %1redirect_uri=http%2 [NE,R=302]


#forward the requests on to keycloak
ProxyPreserveHost On
ProxyPass / http://127.0.0.1:8080/
ProxyPassReverse / http://127.0.0.1:8080/


#Leave the items added by certbot alone
#There should be a ServerName option
#And a bunch of options to configure the location of the SSL cert files
#Along with an option to include an additional config file


</VirtualHost>
</IfModule>

步骤8) 重启 Apache。使用 sudo systemctl restart httpd(CentOs)或 sudo systemctl restart apache2(Ubuntu)。

第九步) 在您有机会尝试登录到服务器之前，因为我们已经告诉 Key枕使用 http，所以我们需要设置另一种安全连接方法。这可以通过在密钥斗篷服务器上安装 VPN 服务或使用 SOCKS 来完成。我用了 SOCKS 代理。为此，首先需要设置动态端口转发。

ssh -N -D 9905 user@example.com

或者通过 油灰设置。

发送到端口9905的所有流量现在将通过 SSH 隧道安全地路由到您的服务器。确保服务器防火墙上的白名单端口为9905。

一旦您有了动态端口转发设置，您将需要设置您的浏览器来使用端口9905上的 SOCKS 代理。这里有说明.

步骤10) 您现在应该能够登录到 Key 钥匙斗篷管理門口。要连接到网站到 http://127.0.0.1，和 SOCKS 代理将带您到管理控制台。请确保您关闭 SOCKS 代理时，您这样做，因为它确实利用您的服务器的资源，并将导致较慢的互联网速度为您，如果继续。

不要问我花了多长时间才弄明白这一切。