如何在Keycloak中为特定用户设置长期不失效的密码策略？

你不需要通过实现适配器接口来完成这个需求，Keycloak本身提供了更直接的解决方案，同时也能通过自定义扩展实现更灵活的控制：

1. 直接设置单个用户豁免密码过期 #

这是最简单的方式，针对单个用户单独配置：

• 登录Keycloak管理控制台，切换到目标Realm
• 在「Users」列表中找到目标用户，进入其详情页
• 切换到「Credentials」标签页，找到「Password Expiration」区域
• 勾选「Disable password expiration」选项，保存设置
• 完成后，该用户的密码将不受Realm级的密码过期策略约束

2. 自定义密码策略（针对批量/规则化豁免场景） #

如果需要给一类用户（比如拥有特定角色、带有特定属性的用户）设置豁免，可以通过自定义密码策略实现：

• 实现Keycloak的PasswordPolicyProvider接口，在校验逻辑中加入判断：若用户符合豁免条件（如拥有password-never-expire角色），则跳过密码过期检查
• 将自定义策略打包成Jar包部署到Keycloak的providers目录，重启服务
• 在Realm的「Authentication > Password Policy」中添加自定义策略，调整优先级确保其生效

为什么不需要适配器接口 #

Keycloak的适配器（如Java/JS客户端适配器）的核心作用是客户端应用与Keycloak服务端的认证交互，负责处理登录、token校验等客户端侧逻辑，无法干预Keycloak服务端内部的密码策略校验规则，因此适配器接口不是解决这个问题的正确方向。

内容的提问来源于stack exchange，提问作者Prateek Sharma