为身份代理配置 Keycloak 的出站代理

浏览器能够到达身份提供者的登录页；随后由 Keycloak 服务器兑换返回的授权码。如果之后这次交换无法建立连接，请在启动前把代理路由写入 Keycloak 进程或容器的环境：

HTTPS_PROXY=http://proxy.example:8080
NO_PROXY=localhost,internal.example

对于公共 HTTP 路由，从 HTTP 代理列表 中取一个地址填入 HTTPS_PROXY；保留原本打算绕行的目标。令牌 URL 仍是身份提供者的端点，而不是代理地址。

Keycloak 的优先级规则与按目标协议映射的做法不同：

• 如果同时定义了 HTTP_PROXY 和 HTTPS_PROXY，则 HTTPS_PROXY 生效。
• 小写形式的优先级高于大写形式。
• NO_PROXY 以逗号分隔，且指定的主机也会排除其子域名。

如果服务器选择了意外的路线，请检查上述所有输入。浏览器的代理设置并不提供这个环境。

连接可用后，TLS 校验失败属于通过 Keycloak 的 truststore 接口进行的信任配置。更改路由无法建立缺失的证书信任。