从Auth0迁移至Keycloak：基于身份提供商区分同邮箱用户

要在Keycloak中实现同一邮箱地址对应不同社交连接器（如Google、LinkedIn）的独立用户，可通过以下步骤完成：

1. 调整Realm登录配置，允许邮箱重复 #

Keycloak默认强制邮箱唯一是因为默认将邮箱作为登录用户名。你可以修改Realm的登录设置：

• 进入目标Realm的Login标签页
• 关闭Email as username选项
• 确保Username unique选项保持开启（保证用户名唯一）
• 此时邮箱字段不再强制唯一，同一邮箱可被多个用户使用

2. 迁移时生成唯一用户名 #

迁移Auth0用户到Keycloak时，为每个来自不同社交连接器的用户生成唯一用户名，建议格式为：[连接器标识]_[用户在该连接器的唯一ID]，例如：

• Google用户：google_123456789
• LinkedIn用户：linkedin_987654321
  这样既保证用户名唯一，又能直观区分用户所属的社交连接器。

3. 添加自定义属性标记连接器类型 #

为每个迁移的用户添加自定义属性（如identity_provider），属性值设为对应的连接器标识（google/linkedin等）。后续业务逻辑中可通过该属性快速识别用户的来源连接器，方便权限控制或其他业务处理。

4. 利用自定义Authenticator SPI优化登录流程（可选） #

如果需要在用户通过社交连接器登录时自动匹配对应的Keycloak用户，可以开发自定义Authenticator SPI：

• 在认证流程中，获取当前使用的身份提供商信息
• 结合用户的邮箱（或连接器返回的用户ID），查询Keycloak中对应的用户
• 完成登录匹配，确保同一邮箱不同连接器的用户能正确登录各自账号

关于你提到的GitHub议题 #

你提到的Keycloak议题确实与你的问题直接相关，该议题正是讨论如何支持同一邮箱关联多个用户的场景，里面包含社区贡献的解决方案以及官方对该功能的规划进展，你可以参考其中的实现思路优化你的迁移方案。

内容的提问来源于stack exchange，提问作者pradhan