如何通过SPI从外部数据库导入Keycloak的客户端与资源？

可以通过Keycloak的SPI实现从外部数据库读取客户端及授权资源信息，以下是具体的实现方案和关键接口：

• org.keycloak.storage.client.ClientProvider：这是扩展客户端存储的核心接口。你需要实现该接口的核心方法，比如getClientById、getClientByClientId、getClients等，在方法内部从外部数据库查询客户端数据，然后映射为Keycloak的ClientModel对象返回。ClientModel包含了客户端的所有核心属性（客户端ID、名称、重定向URI、认证流程等），需要将外部库中的字段一一对应填充。
• 若需要支持客户端的创建/修改/删除操作，还可以实现org.keycloak.storage.client.ClientStorageProvider（继承自ClientProvider），扩展完整的CRUD逻辑。

对于授权标签页中的资源，需要基于Keycloak Authorization Services的SPI进行扩展：

• org.keycloak.authorization.provider.ResourceProvider：实现该接口的findById、findByClient、findByName等方法，从外部数据库读取资源数据并转换为org.keycloak.authorization.model.Resource实例。Keycloak在处理授权请求、展示资源列表时会调用这些方法获取数据。
• 关联策略扩展：如果外部数据库还存储了资源对应的权限策略，可实现org.keycloak.authorization.provider.PolicyProvider接口，同步策略信息，支持基于外部策略的授权判断。

授权资源界面示例 #

1. 优先考虑批量导入：如果客户端和资源是预定义、变动少的，建议直接用Keycloak Admin API批量导入数据到内置存储，比如创建客户端、创建资源的接口调用，这种方式比SPI扩展更简单，维护成本更低。
2. SPI扩展注意点：
   • 实现SPI时必须处理缓存，避免频繁查询外部数据库影响性能，可借助Keycloak内置的Cache接口对客户端和资源数据进行缓存。
   • 需保证外部数据库的变更能同步到Keycloak，可通过数据库事件监听或定时增量同步实现。
   • 开发完成后将SPI打包为JAR，放到Keycloak的providers目录，重启后在控制台启用对应扩展。

内容的提问来源于stack exchange，提问作者Javad Malekzaseh