以社区登录为例，对接社区如微信登录后，在keycloak登录页点微信按钮，

登录页面 /auth/realms/demo/protocol/openid-connect/auth验证参数完成到社区网站的302跳转 /auth/realms/{realm}/broker/weixin/login?client_iddemoclienttab_idrzukcX7mOfQsession_codeOPsAHAZ3HZISaxklQLmcVYJThVUwLh5Y8TkAi5GQPjY在社区网站上完成登录由社区302跳转回keycloak页面如果社区帐号没有绑定keycloak用户进入first-broker-login页面完成用户的绑定 /auth/realms/demo/login-actions/first-broker-login?client_iddemoclienttab_idJCCx2WFmFFA在first-broker-login填写信息提交后完成绑定302到post-broker-login页面 /auth/realms/demo/login-actions/post-broker-login?client_iddemoclienttab_iddBh9Jl7qib4post-broker-login流程处理完成后302到after-post-broker-login页面/auth/realms/demo/broker/after-post-broker-login?session_codeQM5PnTZihZqnVsyCilwJhxLY5viLoCgckPLHF_NkBuAclient_iddemoclienttab_iddBh9Jl7qib4这样就完成了keycloak的登录然后302跳转到redirect_uri页面登录结束跨域iframe登录出现问题的点打开登录页后生成auth_session_id这个键并添加了当前域名的顶级域名做为cookie的Partition Key点击社区登录后kc服务端进入如下方法org.keycloak.services.resources.IdentityBrokerService.performLogin()org.keycloak.services.resources.IdentityBrokerService.parseSessionCode()org.keycloak.services.resources.SessionCodeChecks.initialVerify()经过sessionCode初始检查之后在执行到parseSessionCode()方法中代码AuthenticationSessionModel authSession checks.getAuthenticationSession();时authSession的结果为空故出现无法登录异常如下代码ERROR [org.keycloak.services.resources.IdentityBrokerService] (default task-1708) unexpectedErrorHandlingRequestMessage: javax.ws.rs.WebApplicationException: HTTP 400 Bad Request at org.keycloak.keycloak-services14.0.0//org.keycloak.services.resources.IdentityBrokerService.parseSessionCode(IdentityBrokerService.java:1225) at org.keycloak.keycloak-services14.0.0//org.keycloak.services.resources.IdentityBrokerService.performLogin(IdentityBrokerService.java:419)跨域后的异常有同域的auth_session_id的情况下(已在cookie partitioned为空的网站登录与kc认证服务同一顶级域名在跨域页面登录请求是http 302跳到新登录页显示登录超时或者强制跳到已登录页面原因是kc服务端获取的auth_session_id与当前页面传递的tab_id和session_code不匹配在没有其它auth_session_id的情况下在跨域页面登录显示错误页http 400错误原因是kc服务端在无法获取cookie中带分区的auth_session_idkeycloak使用了会话保持功能我们使用更稳定的ingress在浏览器添加cookie的方式当在社区超链登录时它的a标签里target属性为_parent或者_top这样链接发送的cookie是cookie partitioned为空的网站route(状态保持自动生成这时会出现请求的kc节点与提交的kc节点不同的情况也会出现400的错误