Keycloak令牌交换：自动关联身份提供商的配置问题求助

1. 先检查IDP基础配置 #

进入Keycloak Admin UI，分别配置Google和Facebook两个IDP的核心参数：

• 找到用户匹配策略，设置为Email，让Keycloak基于邮箱匹配已有用户。
• 开启同步模式为Force，确保IDP返回的邮箱匹配到已有用户时，自动关联该IDP身份，而非抛出“用户已存在”错误。
• 确认导入用户和允许创建用户选项保持启用（你已能创建用户，此步主要确保匹配关联逻辑生效）。

注意：默认的令牌交换流程遇到邮箱冲突时仍会报错，仅靠基础配置可能不够，需结合自定义逻辑。

2. 自定义Token Exchange SPI扩展 #

Keycloak的urn:ietf:params:oauth:grant-type:token-exchange授权类型默认没有自动关联已有用户的逻辑，需通过自定义SPI扩展实现：

• 编写Java类继承AbstractTokenExchangeProvider，重写exchange方法。
• 在方法中添加逻辑：解析subject_token对应的IDP用户邮箱，查询Keycloak中是否存在该邮箱的用户：

  UserModel existingUser = session.users().getUserByEmail(realm, email);
  

• 若存在用户，直接关联IDP身份到该用户：

  session.userFederation().linkUserToFederatedIdentity(realm, existingUser, new FederatedIdentityModel(idpAlias, idpUserId, email));
  

• 编译后将JAR包放入Keycloak容器的providers目录，重启容器生效。

3. 补充交互式登录场景的认证流调整（若需） #

如果同时存在用户通过浏览器跳转IDP登录的场景，可调整认证流：

• 复制默认Browser认证流，添加自定义执行器，在IDP登录成功后检查邮箱是否匹配已有用户，匹配则自动关联身份。
• 执行器逻辑参考上述SPI的用户匹配与关联代码，确保认证完成后自动完成身份绑定。

关键注意事项 #

• 确保两个IDP都能正确返回用户邮箱，且格式统一（比如全小写，避免因大小写差异导致匹配失败）。
• 自定义SPI需适配Keycloak 24.0.4版本的API，避免版本兼容问题。
• 测试时先删除已关联的用户身份，用新IDP的令牌触发交换，验证自动关联是否生效。

内容的提问来源于stack exchange，提问作者Venom