Keycloak 22.0部分双因素认证应用无法使用，求解决办法

针对你遇到的部分OTP应用无法与Keycloak 22.0配合使用的问题，可以通过以下步骤排查修复：

• 确认OTP策略符合标准
  进入Keycloak后台对应Realm的Realm Settings -> Security Defenses -> OTP Policy，确保配置为：

  • 算法：SHA1
  • 位数：6
  • 周期：30
    这些是TOTP的通用标准配置，非标准值会导致部分应用无法兼容。

• 验证二维码URI格式
  Keycloak生成的OTP二维码URI需严格遵循RFC 6238标准。如果扫描二维码失败，可手动构造URI测试：

  otpauth://totp/[你的Issuer名称]:[用户名]?secret=[生成的Base32密钥]&issuer=[你的Issuer名称]&algorithm=SHA1&digits=6&period=30
  

  注意issuer字段需要在URI的路径和参数中同时存在，部分应用（如Microsoft Authenticator）对此有要求。

• 尝试手动输入密钥
  部分应用的二维码扫描可能存在解析异常，跳过扫描，选择“手动添加账户”，输入以下信息：

  • 账户名称：自定义（如你的服务名称+用户名）
  • 密钥：Keycloak生成的Base32格式密钥
  • 类型：选择TOTP
    完成后尝试生成OTP并在Keycloak中验证。

• 重置用户OTP凭据
  对于无法正常使用的用户，进入Keycloak后台的用户详情页，删除已有的OTP凭据，重新生成新的密钥并配置到应用中，排除旧凭据生成异常的可能。

• 针对Duo Mobile的额外检查
  Duo Mobile添加TOTP账户时，选择“添加其他账户”选项，手动输入密钥和账户名称，避免使用其默认的“扫描二维码”可能带来的解析问题。

内容的提问来源于stack exchange，提问作者Albert