IAM 网关：Keycloak + oauth2-proxy 保护内部应用
一份面向内部应用的 Keycloak + oauth2-proxy 网关层 SSO 配置清单，覆盖 NGINX Ingress、Traefik ForwardAuth、常见报错和回滚。
2026年7月4日 Keycloak, OAuth2 Proxy5 minutes
OIDC
IAM 网关 Keycloak 重定向循环与 401 排错
登录成功后又被弹回登录页，或者明明已登录却一直 401 —— 按反向代理 Header、Cookie、OIDC 回调 URI、TLS 终结层次、Token 校验五道关卡顺序定位，附症状速查表与诊断命令。
2026年7月8日 Keycloak, oauth2-proxy7 minutes
IAM 前端跨域排错：Keycloak Web Origins 与 CORS 边界
客户端配了 Web Origins 还是 CORS 报错，或者机器客户端升级后突然 403？按 Keycloak 26.7.4 源码与官方升级说明拆解：哪些端点真的校验 Origin、`+` 和 `*` 展开成什么、26.6.3 起为什么连 client_credentials 都会被 Origin 头拒绝。
2026年9月20日 Keycloak7 minutes
IAM 客户端接入：Next.js Auth.js 对接 Keycloak 的 Token 刷新与登出排错
登录顺利，几分钟后所有后端调用开始 401；点了退出，再点登录又能免密进去。把 Auth.js 的会话模型和 Keycloak 登出端点的校验拆开看，给出可验证的最小配置。
2026年9月27日 Keycloak7 minutes
IAM 签名密钥轮换排错：Keycloak 的 kid、JWKS 缓存与切换顺序
轮换后 401 大概率不是「Keycloak 没生效」，而是三段时间没对齐：新 kid 进入验签方缓存的时间、旧 kid 仍在签发令牌的时间、旧公钥被下线的时间。按组件给出可核对的默认值与切换顺序。
2026年9月28日 Keycloak5 minutes