如何让Keycloak每次登录都调用StorageProvider SPI获取用户属性？

核心问题原因 #

Keycloak默认会将外部用户数据导入并持久化到本地数据库，后续登录直接使用本地缓存数据，不再触发你的自定义SPI。要实现每次登录拉取最新数据，可通过以下几种方式解决：

方案1：禁用用户自动导入（推荐） #

通过配置禁止Keycloak将外部用户导入本地数据库，强制每次登录都调用你的SPI获取实时数据：

方式1：通过管理控制台配置 #

1. 登录Keycloak管理后台，进入目标Realm
2. 左侧菜单选择User Federation，找到你的自定义存储提供者
3. 关闭Import Users选项，保存配置

方式2：在Provider工厂类中硬编码配置 #

如果需要代码层面控制，在CustomUserStorageProviderFactory的create方法中添加配置：

@Override
public UserStorageProvider create(KeycloakSession session, ComponentModel model) {
    // 禁用用户导入，强制每次登录调用SPI
    model.put("importEnabled", "false");
    return new CustomUserStorageProvider(session, model);
}

方案2：同步更新本地用户数据（保留本地配置场景） #

如果需要保留Keycloak本地的用户专属配置（比如角色、组关联），可以在SPI中每次获取用户时，先拉取外部API的最新数据，再更新本地用户：

public UserModel getUserByUsername(RealmModel realm, String username) {
    // 1. 从外部API拉取最新用户信息
    ExternalUser externalUser = fetchUserFromExternalApi(username);
    if (externalUser == null) {
        return null;
    }

    // 2. 查询Keycloak本地是否存在该用户
    UserModel localUser = session.users().getUserByUsername(realm, username);

    if (localUser != null) {
        // 3. 同步更新本地用户的所有属性
        localUser.setEmail(externalUser.getEmail());
        localUser.setFirstName(externalUser.getFirstName());
        localUser.setLastName(externalUser.getLastName());
        // 更新自定义属性
        localUser.setSingleAttribute("employeeId", externalUser.getEmployeeId());
    } else {
        // 本地无用户时创建（需开启导入）
        localUser = session.users().addUser(realm, username);
        localUser.setEmail(externalUser.getEmail());
        localUser.setEnabled(true);
        // 初始化其他属性
    }

    return localUser;
}

方案3：调整用户缓存超时 #

如果只是因为缓存导致数据不更新，可以缩短用户缓存的过期时间，让Keycloak定期重新从SPI拉取数据：

在Keycloak的配置文件（standalone.xml/domain.xml）中找到userCache节点，设置短超时：

<subsystem xmlns="urn:jboss:domain:infinispan:12.0">
    <cache-container name="keycloak">
        <cache name="userCache">
            <expiration max-idle="30000"/> <!-- 设置为30秒，单位毫秒 -->
        </cache>
    </cache-container>
</subsystem>

注意事项 #

• 禁用用户导入后，所有用户数据完全依赖外部API，需确保API的稳定性和可用性
• 同步更新方案会增加每次登录的开销，需评估外部API的响应速度对登录体验的影响
• 缓存调整仅适用于允许短时间数据延迟的场景，无法做到实时同步

内容的提问来源于stack exchange，提问作者Andrews