如何实现Keycloak重定向至外部认证服务后续接原有流程？

完全可行，核心是利用Keycloak的Authenticator SPI扩展能力，无需修改默认模板就能对接外部人脸识别服务，具体实现步骤如下：

1. 开发自定义认证器 #

创建实现Authenticator接口的自定义认证器，核心处理两个逻辑：

• 初始登录完成后，生成唯一会话标识，构造跳转URL到外部人脸识别服务，同时传递会话ID和Keycloak回调地址。
• 接收外部服务的验证回调，校验会话有效性与验证结果，通过则继续原有认证流程，失败则终止。

关键代码示例：

public class ExternalFaceAuthAuthenticator implements Authenticator {
    @Override
    public void authenticate(AuthenticationFlowContext context) {
        // 获取Keycloak会话ID，用于后续校验
        String sessionId = context.getUserSession().getId();
        // 构造Keycloak回调URL
        String callbackUrl = context.getUriInfo().getBaseUriBuilder()
                .path("realms/{realm}/login-actions/authenticate")
                .queryParam("session_code", context.getSession().getSessionId())
                .queryParam("execution", context.getExecution().getId())
                .queryParam("client_id", context.getClient().getClientId())
                .build(context.getRealm().getName()).toString();
        
        // 拼接外部人脸识别服务跳转地址
        String externalAuthUrl = "https://your-face-service.com/verify?sessionId=" + sessionId + "&callback=" + URLEncoder.encode(callbackUrl, StandardCharsets.UTF_8);
        
        // 重定向到外部服务
        context.challenge(Response.seeOther(URI.create(externalAuthUrl)).build());
    }

    @Override
    public void action(AuthenticationFlowContext context) {
        // 解析外部服务回调参数
        String sessionId = context.getHttpRequest().getDecodedFormParameters().getFirst("sessionId");
        String verifyResult = context.getHttpRequest().getDecodedFormParameters().getFirst("result");
        
        // 校验会话与验证结果
        if ("success".equals(verifyResult) && sessionId.equals(context.getUserSession().getId())) {
            // 验证通过，继续Keycloak流程
            context.success();
        } else {
            // 验证失败，终止流程
            context.failure(AuthenticationFlowError.INVALID_CREDENTIALS);
        }
    }

    // 实现接口其他必填方法（close、requiresUser、configuredFor等）
}

2. 打包部署自定义认证器 #

• 将认证器代码打包成JAR文件，放入Keycloak的providers目录。
• 执行kc.sh build（Linux/macOS）或kc.bat build（Windows）命令加载扩展。

3. 配置Keycloak认证流程 #

• 登录Keycloak管理后台，进入目标Realm的Authentication -> Flows页面。
• 复制默认Browser认证流（避免修改默认配置），命名为Browser with External Face Auth。
• 在复制后的流程中，添加新执行步骤：选择自定义认证器类型，设置为REQUIRED，调整顺序到用户名密码验证步骤之后。
• 将该自定义流设为Realm默认浏览器认证流，或为指定客户端单独配置。

4. 外部服务对接要求 #

外部人脸识别服务需满足：

• 接收Keycloak传递的会话ID和回调URL。
• 完成验证后，重定向回Keycloak回调地址，携带验证结果（成功/失败）和会话ID。
• 可选：对回调参数进行签名，防止篡改。

注意事项 #

• 确保Keycloak与外部服务网络互通，回调URL需为外部服务可访问地址。
• 处理会话超时：若外部验证耗时过长，需调整Keycloak会话超时时间，或在认证器中添加超时校验逻辑。
• 错误处理：验证失败时，返回清晰错误提示，引导用户重新尝试。

内容的提问来源于stack exchange，提问作者Jutinant Mahawongsanant