Keycloak同Realm下多客户端同名用户登录冲突解决方案咨询

一、实现两客户端正常共存的核心配置 #

1. 给不同来源用户添加唯一标识 #

针对User Federation客户端，在自定义用户联邦模块中，同步用户到Keycloak时自动给用户名添加专属前缀/后缀（比如_fed），例如将原用户名notUniqueUser@email.com处理为notUniqueUser@email.com_fed，从根源上避免和OIDC身份提供商的用户重名。

• 同步策略设置：将User Federation的Sync Mode设为IMPORT或FORCE，确保新用户同步时自动应用标识规则。
• 无感知登录：如果需要用户输入原始用户名即可登录，可添加自定义Authenticator，在认证环节自动为该客户端的登录请求追加前缀/后缀，用户无需手动输入。

2. 配置独立认证流程 #

为两个客户端分别绑定专属认证流程，隔离认证逻辑：

• OIDC客户端（public类型、支持2FA）：保留原有包含2FA步骤的认证流程，在客户端Authentication Flow Overrides中绑定默认的带2FA的Browser流程。
• User Federation客户端（confidential类型、无2FA）：复制默认Browser流程，移除2FA相关执行步骤，仅保留用户名密码认证，将这个自定义流程绑定到该客户端的Authentication Flow Overrides。

3. 调整用户存储与冲突处理规则 #

• 在Realm的User Federation设置中，为自定义模块设置独立的优先级，避免和OIDC身份提供商的用户存储逻辑冲突。
• 在Realm的Login配置中，将Duplicate Username Handling设为Deny，禁用Keycloak自动合并同名用户的逻辑，配合唯一用户名标识彻底杜绝冲突。

二、强制认证删除原会话的临时方案 #

若暂时无法修改用户标识，可通过以下方式实现切换客户端时强制注销原会话：

• 开启客户端强制认证：在两个客户端的Settings -> Advanced Settings中，将Force Authentication设为ON，每次访问客户端都会强制用户重新认证，不复用现有SSO会话。
• 自定义会话清理逻辑：编写自定义EventListenerProvider，监听用户登录事件，当用户登录某一客户端时，主动清除该用户在另一客户端的所有会话；或在认证流程中添加自定义执行步骤，完成认证后清理其他客户端会话。
• 注意：此方案会破坏SSO体验，仅适合临时过渡使用。

内容的提问来源于stack exchange，提问作者Alexander Mladzhov