如何从ASP.NET Core Identity迁移用户至Keycloak数据库？

方案1：直接迁移密码哈希（推荐，无用户感知） #

ASP.NET Core Identity默认使用PBKDF2-HMAC-SHA256算法存储密码哈希，Keycloak原生支持该算法，只要参数匹配就能直接复用原有哈希，无需用户重置密码。

步骤：

1. 导出并解析ASP.NET用户哈希
   ASP.NET的密码哈希字符串格式为：PBKDF2-HMAC-SHA256<迭代次数>:<Base64编码的盐>:<Base64编码的哈希值>（旧版可能省略前缀）。用C#解析示例：

   var hashParts = aspNetPasswordHash.Split(':');
   var iterations = int.Parse(hashParts[1]);
   var salt = Convert.FromBase64String(hashParts[2]);
   var hash = Convert.FromBase64String(hashParts[3]);
   

   注意：确认你的ASP.NET版本迭代次数（.NET 6+默认100000，旧版为10000）。

2. 向Keycloak导入用户
   优先用Keycloak Admin API批量创建用户，避免直接操作数据库（风险高）。示例curl请求：

   curl -X POST "http://your-keycloak/auth/admin/realms/your-realm/users" \
   -H "Authorization: Bearer ADMIN_TOKEN" \
   -H "Content-Type: application/json" \
   -d '{
     "username": "user1",
     "email": "user1@example.com",
     "enabled": true,
     "credentials": [
       {
         "type": "password",
         "algorithm": "pbkdf2-sha256",
         "hashIterations": 100000,
         "salt": "'$(echo -n $salt | base64)'",
         "value": "'$(echo -n $hash | base64)'",
         "temporary": false
       }
     ]
   }'
   

   若必须操作数据库，需修改user_entity表的credential_data字段（JSON格式），确保算法、迭代次数、盐、哈希值对应正确。

3. 迁移附加数据

   • 角色：将ASP.NET角色映射到Keycloak的领域/客户端角色，通过API批量关联。
   • 用户声明：将ASP.NET的Claims导入到Keycloak的用户属性或声明中。

方案2：用户登录时自动同步哈希（适合分批迁移） #

如果不想一次性批量操作，可实现密码验证桥接：

1. 在Keycloak中开发自定义身份验证器，当用户首次登录时，调用你的ASP.NET服务验证旧密码。
2. 验证通过后，Keycloak自动生成自身格式的密码哈希并存储，后续登录直接用Keycloak原生验证逻辑。
3. 优点：无需批量操作，逐步完成迁移；缺点：需要开发Keycloak扩展。

方案3：批量重置密码（最简单但用户感知强） #

如果对用户体验要求不高，可：

1. 导出所有用户的邮箱/手机号。
2. 通过Keycloak API批量创建用户，设置临时密码并标记为"temporary": true。
3. 自动发送邮件/短信通知用户登录并修改密码。

内容的提问来源于stack exchange，提问作者ELOL