IAM 网关 oauth2-proxy 常见错误排错
把 oauth2-proxy 对接 Keycloak 最容易踩的 12 个错误做成速查：从 csrf cookie not found、expected audience、无限重定向到 Nginx Ingress 503，每条给出日志特征、根因和修复步骤。
2026年7月13日 Keycloak, oauth2-proxy14 minutes
Keycloak
IAM 单点登出排错：Keycloak 登出不彻底的原因与修复
点了退出，另一个应用还是登录状态？RP-Initiated Logout 与 Back-Channel Logout 覆盖范围不同、front/back channel 互斥开关极易配错——说清 400 报错与确认页卡住的根因、最小配置与回滚方式。
2026年9月12日 Keycloak5 minutes
IAM 会话超时排错：Keycloak SSO/Client Session 约束
Refresh Token 设了 30 天却一小时就失效？SSO Session Idle/Max 与 Client Session 的取值优先级（0 表示继承、min() 表示夹住）、改动何时生效，附最小配置与验证命令。
2026年9月13日 Keycloak5 minutes
Keycloak --optimized 启动失败：IAM 构建期选项与运行期选项的边界
容器里给 Keycloak 挂 KC_DB、KC_METRICS_ENABLED 却启动失败或选项不生效，多数是 build-time 与 runtime 选项混用。这篇把校验逻辑、报错原文、版本差异、正确镜像构建方式和回滚讲清楚。
2026年9月24日 Keycloak, Kubernetes4 minutes
IAM 前端跨域排错：Keycloak Web Origins 与 CORS 边界
客户端配了 Web Origins 还是 CORS 报错，或者机器客户端升级后突然 403？按 Keycloak 26.7.4 源码与官方升级说明拆解：哪些端点真的校验 Origin、`+` 和 `*` 展开成什么、26.6.3 起为什么连 client_credentials 都会被 Origin 头拒绝。
2026年9月20日 Keycloak7 minutes
Keycloak 管理员账号进不去：bootstrap-admin 恢复与 26.x 变量变更
给一个已经跑起来的 Keycloak 加 KC_BOOTSTRAP_ADMIN_PASSWORD 不会重置管理员密码——这些选项只在 master realm 不存在时才创建账号。恢复要用 kc.sh bootstrap-admin 命令：先停所有节点，db 选项与服务器保持一致，已优化构建加 --optimized；首次部署在反代后面点不出来创建入口，是 Welcome Page 的本机访问检查在起作用。
2026年9月23日 Keycloak3 minutes
Keycloak Kerberos/SPNEGO 对接 AD 域：IAM 内网免登配置与排错
内网免登不是打开一个开关：SPN 必须与浏览器访问的地址一致、keytab 必须与 AD 账号当前密钥一致、krbPrincipalAttribute 决定票据里的用户怎么落到目录里。这篇给出三段配置、验证命令、错误对照表与只回退一层的回滚顺序。
IAM Token 体积治理：Keycloak claims 裁剪与 oauth2-proxy Cookie 膨胀
用户组一多就出现 431、日志开始警告 Multiple cookies are required——问题不在浏览器，而在网关里那条 token → Cookie → 请求头的放大器。给出 Keycloak 侧四层裁剪、oauth2-proxy 侧 4000 字节内部上限的真实机制、量化诊断命令与分层回滚。
2026年9月23日 Keycloak7 minutes
IAM 客户端接入：Next.js Auth.js 对接 Keycloak 的 Token 刷新与登出排错
登录顺利，几分钟后所有后端调用开始 401；点了退出，再点登录又能免密进去。把 Auth.js 的会话模型和 Keycloak 登出端点的校验拆开看，给出可验证的最小配置。
2026年9月27日 Keycloak7 minutes
Keycloak 身份代理登出验签：CVE-2026-18569 与 26.8 现状核对
把 OIDC IdP 的「Validate Signatures」关掉，会连带放过身份代理方向的登出令牌：26.8.0 及更早接受 alg=none 的伪造登出令牌（CVE-2026-18569）。修复 PR #52171 截至 2026-10-01 仍未合入，26.8.0 已发布但不包含该修复——升级不能替代加固，仍须补上公钥或 JWKS。