基于Keycloak的OAuth 2.0授权流程能否避免重定向至登录UI？

规范层面的可行性 #

OAuth 2.0的授权码流程本质是依赖浏览器跳转完成用户认证的——设计初衷就是让用户在授权服务器（Keycloak）的官方UI上完成登录和授权，避免客户端直接接触用户凭证，这是核心安全逻辑。所以严格遵循标准授权码流程的话，跳过跳转直接传凭证拿授权码是不符合规范的。

但OAuth 2.0提供了另一种适合直接传递用户凭证的流程：资源所有者密码凭证流程。这个流程允许客户端收集用户的用户名和密码，直接调用授权服务器的API换取令牌（注意：通常直接返回访问/刷新令牌，而非授权码）。不过规范明确限制了这个流程的使用场景：仅适用于客户端是高度信任的内部系统、官方原生应用，且其他流程无法满足需求的情况。

Keycloak的实际支持情况 #

Keycloak完全支持上述的密码凭证流程，你可以通过它的Direct Grant API实现无跳转的凭证验证：
调用Keycloak的令牌端点：/realms/{你的领域名}/protocol/openid-connect/token，传递以下表单参数：

grant_type=password
username=用户账号
password=用户密码
client_id=你的客户端ID
client_secret=你的客户端密钥（仅当客户端是保密类型时需要）
scope=openid（可选，按需添加其他权限范围）

这个接口会直接返回访问令牌、刷新令牌和ID令牌，但不会返回授权码——因为授权码流程的设计绑定了用户交互跳转，Keycloak没有提供跳过该环节直接生成授权码的官方API。

关键注意事项 #

• 安全风险：使用密码凭证流程意味着客户端必须处理用户的明文凭证，一旦客户端被入侵，用户账号密码会直接泄露，这违背了OAuth 2.0“客户端不接触用户凭证”的安全设计。
• 规范兼容性：如果你的系统需要严格对齐标准授权码流程，那么无跳转传凭证的方案不符合规范，只能选择接受Keycloak的登录UI跳转。
• Keycloak配置要求：要启用密码凭证流程，需要在Keycloak客户端设置中打开“Direct Access Grants Enabled”开关，默认该选项是关闭的。

内容的提问来源于stack exchange，提问作者user7510999