已有自定义登录的遗留系统，如何无密码生成Keycloak用户访问令牌？

推荐方案：令牌交换（Token Exchange） #

令牌交换是当前场景下的最优选择，它是OAuth2的标准扩展（RFC 8693），专门用于将已有身份凭证转换为OAuth2令牌的场景。具体流程如下：

• 遗留系统在用户完成自定义登录后，以可信客户端的身份，携带用户的遗留身份凭证（如会话ID、系统内自定义令牌）向Keycloak发起令牌交换请求
• Keycloak预先配置好对该遗留凭证的验证逻辑（比如调用遗留系统的身份校验接口），验证通过后，返回关联该用户身份的OAuth2访问令牌
• 后续依赖OAuth2的服务即可通过该令牌识别用户身份、校验权限

其他方案的问题 #

• 自定义Keycloak用户存储SPI允许空密码：这种方式绕过了正常的密码验证逻辑，引入不必要的安全风险，不符合身份验证的最佳实践，后续的审计、维护成本也会显著提升。
• 客户端凭证流生成用户令牌：客户端凭证流的设计初衷是为服务自身获取令牌，而非代表用户。强行用该流程生成带用户角色的令牌，会混淆服务身份与用户身份，令牌的主体（sub字段）为客户端而非用户，依赖服务可能无法正确识别用户，权限控制逻辑也会出现混乱。

OAuth2对该用例的支持情况 #

该场景并非未被OAuth2支持，令牌交换（RFC 8693）就是专门为这类遗留系统迁移、跨系统身份凭证转换的场景设计的标准扩展，完全契合当前需求，属于OAuth2生态中被认可的解决方案。

内容的提问来源于stack exchange，提问作者George