如何为Keycloak令牌交换客户端配置首次Broker登录？

• 核心逻辑：Keycloak支持通过SPI扩展Broker登录流程，即便控制台无直接配置入口，也能通过自定义SPI或调整认证流程实现需求。
• 具体实现步骤：
  1. 编写自定义SPI：实现org.keycloak.authentication.authenticators.broker.IdpAuthenticator接口，或继承AbstractIdpAuthenticator类，重写authenticate方法，加入首次登录时的自定义逻辑（比如补充用户属性、分配角色、添加审批环节等）。
  2. 部署SPI：将编译好的自定义代码打包为JAR，放入Keycloak的providers目录，重启Keycloak完成扩展加载。
  3. 自定义认证流程：
     • 登录Keycloak控制台，进入目标Realm的Authentication → Flows页面。
     • 复制默认的First Broker Login流程，命名为自定义流程（如Custom-First-Broker-Login）。
     • 在复制后的流程中，添加或替换步骤为你的自定义SPI认证器。
  4. 绑定客户端与自定义流程：
     • 进入目标客户端的配置页，找到Authentication Flow Overrides选项，将First Broker Login流程替换为你创建的自定义流程。
  5. 适配令牌交换场景：通过/auth/realms/REALM/protocol/openid-connect/token做令牌交换时，Keycloak的Broker逻辑会自动触发首次登录流程，只要自定义流程配置正确即可生效。
• 注意事项：
  • 确保自定义SPI的版本与Keycloak版本兼容，避免依赖冲突。
  • 调试时可开启Keycloak的调试日志，跟踪Broker登录流程的执行轨迹，便于排查问题。

内容的提问来源于stack exchange，提问作者Timur Khismatullin