Spring Boot集成Keycloak：如何二次验证用户密码以取消预订？

你的原思路完全不可行，因为Keycloak会对用户密码做哈希加密存储，根本无法获取到明文密码，自然没法做比对。下面是正确的实现方式：

两种主流实现方案 #

1. 前端触发Keycloak重新认证（推荐） #

• 不需要自己处理密码，直接调用Keycloak的重新登录流程：
  • 可以跳转到Keycloak自带的登录页面，在跳转URL里加上prompt=login参数，强制用户再次输入账号密码完成认证。
  • 认证通过后，Keycloak会返回新的访问令牌（access_token），用这个令牌调用你的取消预订REST API即可。
  • 如果用了Keycloak的JS前端适配器，直接调用keycloak.login({ prompt: 'login' })就能触发这个流程，无需自己拼接URL。

2. 用Keycloak密码流API做后端验证 #

• 前端收集用户输入的密码，调用Keycloak的令牌接口：

  POST /realms/{你的realm名}/protocol/openid-connect/token
  Content-Type: application/x-www-form-urlencoded
  
  grant_type=password&username={用户名}&password={用户输入的密码}&client_id={你的客户端ID}&client_secret={客户端密钥（如果是保密客户端）}
  

• 如果密码正确，Keycloak会返回有效的access_token，前端拿着这个token调用取消预订API；如果验证失败，接口会返回错误信息，前端提示用户密码错误。
• 注意：这个方式要确保请求是HTTPS传输，避免密码明文泄露。

后端API的校验要求 #

你的取消预订REST API需要做两件事：

• 校验请求头里的access_token是否有效（通过Keycloak的公钥验证签名、检查过期时间等）。
• 可选：如果需要区分是首次登录还是二次验证的令牌，可以在重新认证后给token添加自定义声明，后端校验这个声明是否存在。

内容的提问来源于stack exchange，提问作者190303458