IAM 网关：Keycloak + oauth2-proxy 保护内部应用
一份面向内部应用的 Keycloak + oauth2-proxy 网关层 SSO 配置清单，覆盖 NGINX Ingress、Traefik ForwardAuth、常见报错和回滚。
2026年7月4日 Keycloak, OAuth2 Proxy4 minutes
Keycloak
Keycloak + PgBouncer 排错：prepared statement does not exist 与通过环境变量配 JDBC URL 参数
Keycloak 挂在 PgBouncer 后面后事务提交失败、报 prepared statement does not exist 的排错记录，顺带说清楚怎么通过环境变量给任意组件的 JDBC URL 追加参数。
2026年7月17日 Keycloak, PostgreSQL3 minutes
IAM 网关 Keycloak 重定向循环与 401 排错
登录成功后又被弹回登录页，或者明明已登录却一直 401 —— 按反向代理 Header、Cookie、OIDC 回调 URI、TLS 终结层次、Token 校验五道关卡顺序定位，附症状速查表与诊断命令。
2026年7月8日 Keycloak, oauth2-proxy7 minutes
IAM 网关 oauth2-proxy 常见错误排错
把 oauth2-proxy 对接 Keycloak 最容易踩的 12 个错误做成速查：从 csrf cookie not found、expected audience、无限重定向到 Nginx Ingress 503，每条给出日志特征、根因和修复步骤。
2026年7月13日 Keycloak, oauth2-proxy14 minutes
IAM 单点登出排错：Keycloak 登出不彻底的原因与修复
点了退出，另一个应用还是登录状态？RP-Initiated Logout 与 Back-Channel Logout 覆盖范围不同、front/back channel 互斥开关极易配错——说清 400 报错与确认页卡住的根因、最小配置与回滚方式。
2026年9月12日 Keycloak5 minutes
IAM 会话超时排错：Keycloak SSO/Client Session 约束
Refresh Token 设了 30 天却一小时就失效？SSO Session Idle/Max 与 Client Session 的取值优先级（0 表示继承、min() 表示夹住）、改动何时生效，附最小配置与验证命令。
2026年9月13日 Keycloak5 minutes
Keycloak HTTPS Required 错误与反向代理排错指南
HTTP 访问 Keycloak 直接报 `HTTPS required`，或者回跳时报 `Invalid parameter: redirect_uri`——多数不是证书问题，而是 Realm 的 Require SSL 与反向代理头没对齐。给出 KC_PROXY_HEADERS / KC_HOSTNAME 最小配置、kcadm 改法，以及为什么不建议直接改库。
2024年4月1日 Keycloak1 minutes
Keycloak Liquibase 与 MySQL 组复制冲突排查与解决
Keycloak 接 MySQL Group Replication 时数据库迁移起不来，两个高频断点：Liquibase 自建的 DATABASECHANGELOG 没有主键被 GR 拒绝；节点切换的只读窗口让迁移锁写不进去。给出预建表 SQL、重试参数与 GR 超时配置。
Keycloak Kubernetes 导入导出与数据迁移实战
在 Kubernetes 上把 Realm 完整导出备份、再迁移到新集群：`kc.sh export/import` 的正确用法（含 master Realm 不参与导出的坑）、`Script upload is disabled` 报错的处理，以及为什么控制台导出不能当作备份。
2024年4月1日 Keycloak, Kubernetes1 minutes