如何在Keycloak中实现OTP设备重置的自助服务功能？

1. 启用内置备用验证渠道 #

Keycloak原生支持绑定备用邮箱/手机号作为二次验证入口，用户预先设置后，OTP设备丢失时可自助重置：

• 登录页默认提供“无法访问你的认证器？”入口，用户选择通过备用邮箱收验证码或手机短信验证，通过后即可重置OTP。
• 配置路径：Realm设置 → 身份验证 → 流程 → 选择「Reset Credentials」流程，添加并启用「Verify Email」或「Verify Phone」执行器，设置验证要求。

2. 配置安全问题验证 #

若用户未预留联系方式，可添加安全问题作为自助验证手段：

• 扩展Keycloak用户属性，新增安全问题字段（如“你的第一所学校名称？”），要求用户首次设置OTP时完成配置。
• 在「Reset Credentials」流程中添加自定义安全问题验证执行器，用户验证答案正确后，即可进入OTP重置流程。
• 核心实现：通过Keycloak SPI扩展自定义执行器，读取用户预存的安全问题答案比对，验证通过后调用Keycloak API清除原有OTP凭据，引导用户重新设置。

3. 用WebAuthn作为备用验证方式 #

若环境支持WebAuthn（如用户有指纹/面部识别设备），可将其设为OTP的备用验证手段：

• 让用户设置OTP时同时绑定WebAuthn凭据（安全密钥或设备生物识别）。
• OTP丢失时，用户选择WebAuthn验证，通过后直接重置OTP。
• 配置路径：Realm设置 → 身份验证 → 流程 → 调整「Browser」或「Reset Credentials」流程，添加WebAuthn验证执行器，设为可选备用验证路径。

4. 自定义重置页面与API调用 #

如需定制化流程，可结合Keycloak主题自定义与Admin API实现：

• 自定义登录页面，新增「OTP丢失重置」入口，引导用户完成备用验证（邮箱/手机/安全问题）。
• 验证通过后，前端调用Keycloak Admin API（需配置服务账户权限），执行DELETE /admin/realms/{realm}/users/{userId}/credentials/{credentialId}清除原有OTP凭据，再引导用户重新设置。
• 注意：严格控制API调用权限，通过Keycloak客户端权限配置限制仅特定客户端可调用该接口，避免未授权操作。

5. 集成第三方验证服务 #

若原生方案无法满足，可集成第三方SMS/邮箱验证服务作为辅助：

• 用户发起OTP重置请求时，调用第三方服务发送一次性验证码到用户预留联系方式。
• 用户输入验证码验证通过后，触发Keycloak的OTP重置流程。
• 实现方式：通过Keycloak SPI扩展自定义验证执行器，对接第三方服务API完成验证逻辑。

内容的提问来源于stack exchange，提问作者Tomas Rojo