单Realm下Keycloak多登录页面及自定义认证流实现可行性咨询

完全可行，不用动Keycloak源码，靠它自带的扩展能力就能实现你要的需求。下面是具体的实现思路和实操步骤：

核心方案拆解 #

1. 自定义认证器处理查询参数 #

先开发一个自定义认证器，用来拦截登录请求，提取你指定的查询参数（比如login_type），并将参数值存入用户会话中，作为后续判断的依据：

• 实现Keycloak的Authenticator接口，在authenticate方法里读取请求的查询参数，通过context.getAuthenticationSession().setAuthNote("login_type", 参数值)把参数值暂存到会话。
• 将这个认证器设置为你主认证流的第一个执行步骤，确保请求一开始就被拦截处理。

2. 配置多个独立认证流 #

在同一个Realm下创建多个独立的认证流，每个流对应一个登录场景：

• 比如创建flow_for_internal和flow_for_external，分别配置不同的认证逻辑——一个需要MFA验证，一个仅需密码登录，或者对接不同的第三方身份源。
• 每个认证流可以单独绑定对应的登录页面主题。

3. 制作多个自定义登录主题 #

基于Keycloak默认的keycloak主题，复制出多个自定义主题，每个主题对应一个独立的登录页面：

• 复制默认主题的login.ftl等模板文件，修改页面样式、文字内容或布局，命名为theme_internal、theme_external。
• 在主题的theme.properties中可指定默认关联的认证流，或者后续通过认证器动态切换。

4. 动态切换认证流与主题 #

通过自定义认证器或Keycloak的条件执行逻辑，根据查询参数切换到对应的认证流和主题：

• 在自定义认证器中，根据会话中存储的login_type值，调用context.setAuthenticationFlow(目标认证流对象)切换到对应的认证流。
• 同时通过context.getAuthenticationSession().setAuthNote("theme", "theme_internal")设置主题，让Keycloak加载对应的登录页面。

5. 客户端请求携带参数 #

让需要不同登录场景的客户端，在发起认证请求时携带对应的查询参数：

• 比如客户端跳转至Keycloak登录URL时，添加?login_type=internal，Keycloak收到请求后就会按预设逻辑切换到对应的认证流和页面。

注意事项 #

• 自定义认证器需打包为JAR文件，放置到Keycloak的providers目录，然后执行kc.sh build（Windows系统用kc.bat build）加载扩展。
• 自定义主题需放在Keycloak的themes目录下，确保Keycloak能识别并加载。
• 要添加参数校验逻辑，比如维护合法参数值的白名单，防止恶意用户篡改参数切换到未授权的认证流。

内容的提问来源于stack exchange，提问作者sancho