关于Keycloak闲置用户自动禁用及事件读取的技术咨询

1. 闲置时长触发账户自动禁用的实现方式 #

Keycloak没有直接提供开箱即用的“闲置N天自动禁用账户”配置，但可以通过两种可靠方式实现：

• 定时扫描用户登录记录：Keycloak用户实体自带lastLoginTimestamp字段，记录用户最后一次登录的时间戳。你可以编写定时任务（比如基于Quartz，或利用Keycloak的扩展机制），定期遍历目标Realm下的所有用户，计算当前时间与lastLoginTimestamp的差值，当超过设定天数（如50天）时，调用Keycloak Admin API执行账户禁用操作。
• 登录时校验拦截：在用户发起登录请求时，通过自定义Authenticator扩展，检查用户的lastLoginTimestamp，若超出闲置阈值，直接拦截登录并禁用账户。这种方式适合实时处理，但无法覆盖从未触发登录的闲置用户。

2. 账户禁用事件的读取 #

当账户被禁用（无论是手动操作还是上述自动任务触发），Keycloak会自动生成USER_DISABLED类型的事件，你可以通过以下方式获取：

• Admin API查询：调用GET /admin/realms/{realm}/events接口，指定type=USER_DISABLED参数，即可筛选出所有账户禁用事件，返回结果包含用户ID、事件发生时间、操作执行者（自动任务触发时通常为服务账户或admin）等关键信息。
• 自定义事件监听器：编写Keycloak事件监听器扩展，直接监听USER_DISABLED事件，实时捕获并处理事件数据，比如同步到外部系统或存储到自定义数据库。

注意：需要先在Keycloak后台的Realm设置中，开启“事件”功能并勾选USER_DISABLED事件类型，才能确保事件被记录。

内容的提问来源于stack exchange，提问作者Самир Шахмурадлы