# 15173 联调 UI Keycloak 客户端

2026-09-23 已在 `tjwater` realm 验证独立 public client
`tjwater-integration-ui`。该客户端只用于本机 15173 联调页面，不替代或修改
现有 `next-tjwater` 客户端。

已验证配置：

- Standard Authorization Code Flow：开启。
- PKCE：强制 `S256`。
- Implicit Flow、Direct Access Grants、Service Accounts：关闭。
- Public client：开启，不保存客户端密钥。
- Full Scope Allowed：关闭；未授予 realm-management 或系统管理员角色。
- Redirect URI：`http://127.0.0.1:15173/*`、`http://localhost:15173/*`。
- Web Origin：`http://127.0.0.1:15173`、`http://localhost:15173`。

可使用以下幂等脚本复核或恢复同一配置；管理员密码仅从隐藏提示或进程环境
读取，不会写入文件：

```bash
conda run -n server python scripts/provision_integration_ui_client.py
```