如何通过Pac4j判断Keycloak账户是否关联社交登录身份提供商？

要区分Keycloak中本地密码登录账户和关联社交登录的账户，核心是判断用户的身份提供者来源——社交登录账户的身份提供者是Google这类外部服务，而非Keycloak本地的身份验证提供者。以下是具体实现方案：

方案1：从ID Token的Claims直接获取身份提供者信息 #

Keycloak的ID Token中可配置包含identity_provider字段，该字段会标记用户登录时使用的身份提供者ID。你可以通过KeycloakOidcProfile获取ID Token的Claims来提取这个值：

// 从Pac4j上下文获取当前用户的Profile
KeycloakOidcProfile profile = (KeycloakOidcProfile) context.getProfile();
// 提取identity_provider字段
String identityProvider = (String) profile.getIdToken().getClaims().get("identity_provider");

// 判断是否为本地账户（Keycloak默认本地提供者ID为"keycloak"）
boolean isLocalAccount = identityProvider == null || "keycloak".equals(identityProvider);

if (isLocalAccount) {
    // 执行密码重置逻辑（仅本地账户支持）
} else {
    // 提示用户：该账户关联第三方社交登录，无法通过Keycloak重置密码
}

配置说明 #

如果identity_provider字段不存在，需要在Keycloak后台配置客户端的Claims映射：

• 进入Keycloak管理控制台→目标Realm→客户端→选择你的客户端→切换到「Mappers」标签
• 点击「Create」，选择「User Attribute」类型，设置：
  • Name：自定义名称（比如Identity Provider）
  • User Attribute：identity_provider
  • Token Claim Name：identity_provider
  • 勾选「Add to ID token」
• 保存后，新生成的ID Token就会包含该字段。

方案2：调用Keycloak Admin API验证关联的社交身份 #

如果无法通过ID Token获取信息，或者需要更详细的关联信息，可以直接调用Keycloak Admin API获取用户的federatedIdentities列表——该列表不为空则说明账户关联了社交登录：

// 初始化Keycloak Admin Client（需提前配置客户端权限）
Keycloak keycloak = KeycloakBuilder.builder()
        .serverUrl("http://your-keycloak-url/auth")
        .realm("your-realm")
        .clientId("admin-cli")
        .clientSecret("your-client-secret")
        .grantType(OAuth2Constants.CLIENT_CREDENTIALS)
        .build();

// 获取当前用户的UserResource
UserResource userResource = keycloak.realm("your-realm").users().get(profile.getId());
// 获取关联的社交身份列表
List<FederatedIdentityRepresentation> federatedIdentities = userResource.getFederatedIdentities();

boolean hasSocialLogin = !federatedIdentities.isEmpty();
if (hasSocialLogin) {
    // 账户关联社交登录，禁止密码重置
} else {
    // 执行密码重置
}

权限说明 #

使用Admin API需要确保你的客户端拥有view-users和manage-users的Realm权限，否则会返回权限不足的错误。

总结 #

• 优先使用方案1，直接从ID Token提取信息，无需额外API调用，性能更高；
• 方案2适合需要更详细社交关联信息的场景，但需要额外的权限配置和API调用开销。

内容的提问来源于stack exchange，提问作者vished2000