如何通过Keycloak管理员REST API禁用TOTP？

你碰到的情况是正常的：totp字段本来就是只读的，只用来标识用户有没有启用TOTP；而requiredActions里加CONFIGURE_TOTP只是强制用户完成TOTP配置流程，删掉这个值自然不会关掉已经配置好的TOTP。

要真正关闭用户的TOTP，得走Keycloak的凭据管理API，步骤如下：

1. 调用 GET /admin/realms/{realm}/users/{userId}/credentials 接口，获取用户的所有凭据列表，从中筛选出类型为totp的条目，记下它的id
2. 调用 DELETE /admin/realms/{realm}/users/{userId}/credentials/{credentialId} 接口，填入刚才拿到的credentialId执行删除操作

如果用控制台操作更直观，直接进入用户详情的「凭据」标签页，找到TOTP条目点击删除即可。

内容的提问来源于stack exchange，提问作者EML