Keycloak中联邦用户自定义属性更新问题求助

核心原因 #

联邦用户的属性加载依赖Keycloak用户存储适配器，默认情况下Keycloak会缓存用户属性，且你当前的实现仅在登录时从Web应用用户表读取current_account_id，后续切换账户更新表数据后，Keycloak不会主动刷新缓存或重新读取最新值，导致新token仍使用旧数据。

解决方案 #

1. 修改自定义映射器，实时读取最新值 #

调整你的自定义协议映射器逻辑，在生成access_token时直接从Web应用用户表查询最新的current_account_id，而非依赖Keycloak的用户属性缓存。

关键代码示例（自定义映射器核心方法）：

@Override
public void transformAccessToken(AccessToken token, ProtocolMapperModel mappingModel, UserSessionModel userSession, KeycloakSession keycloakSession, ClientSessionContext clientSessionCtx) {
    // 获取当前用户唯一标识
    String userId = userSession.getUser().getId();
    
    // 直接从Web应用用户表查询最新的current_account_id
    String currentAccountId = yourWebAppUserDao.getCurrentAccountId(userId);
    
    // 将属性写入access_token
    token.getOtherClaims().put("current_account_id", currentAccountId);
}

2. 触发Keycloak用户缓存刷新 #

如果坚持使用存储适配器加载属性，在切换账户更新Web应用用户表后，需主动触发缓存失效：

• 调用Keycloak Admin API：POST /admin/realms/{realm}/users/{userId}/logout，强制用户重新获取token时加载最新属性。
• 若你实现了自定义用户存储适配器，可调用keycloakSession.userStorage().invalidate(user.getId())直接清除该用户的缓存。

3. 优化账户切换流程 #

切换账户时，除了更新Web应用用户表，同步调用Keycloak Admin API更新联邦用户的current_account_id属性（需存储适配器支持写入）：

PUT /admin/realms/{realm}/users/{userId}
{
  "attributes": {
    "current_account_id": "2"
  }
}

这样Keycloak会直接更新存储的属性，新生成的token就能拿到最新值。

注意事项 #

• 实时读库需考虑性能，可添加本地内存缓存（如Guava Cache）并设置短TTL（如30秒），平衡数据新鲜度和查询效率。
• 确保自定义映射器的执行优先级高于默认属性加载逻辑，避免旧值覆盖新值。

内容的提问来源于stack exchange，提问作者Sanjay Prajapati