Keycloak问题：新用户创建账号后跳过OTP，如何强制启用？

核心原因 #

新用户注册时走的是Keycloak默认的注册认证流，而非你配置的browser otp浏览器流，所以注册完成后直接跳过了OTP验证环节。要解决这个问题，得修改注册后的流程，让新用户必须完成OTP激活才能进入客户端。

具体操作步骤 #

• 进入Keycloak后台，选中目标Realm → 左侧菜单点Authentication → 切到Flows标签页

• 找到registration流，点右侧Actions → Copy，复制出一个新流（比如命名为registration-otp-required）

• 编辑这个新注册流：在Registration Form步骤之后，添加OTP验证环节

  1. 点击流里的Add execution
  2. 选OTP Form执行器，点Add
  3. 把OTP Form的Requirement改成REQUIRED

• 保存修改后的注册流

• 回到特定客户端的配置页，切到Authentication Flow Overrides标签页

• 在Registration Flow下拉框里，选刚才创建的registration-otp-required流

• 保存客户端配置

验证效果 #

新用户点击「创建账号」完成注册后，会直接跳转到OTP设置页面，必须完成OTP的配置和验证，才能成功登录客户端。

补充说明 #

如果你的Keycloak版本偏旧，可能需要手动调整OTP Form的执行顺序，确保它在注册表单完成之后运行。另外，全局开启Configure OTP的Required Actions也能强制用户设置OTP，但会影响所有客户端，而绑定自定义注册流是针对单个客户端的精准方案。

内容的提问来源于stack exchange，提问作者Henry