Keycloak自定义ProtocolMapper中如何获取HTTPS请求表单数据？

一、解决ProtocolMapper无法获取HTTPS请求参数的问题 #

升级HTTPS后，ProtocolMapper阶段无法直接获取HttpRequest的核心原因是：Keycloak在HTTPS请求处理流程中，请求上下文在到达ProtocolMapper环节时已被清理或无法直接访问。可靠的替代方案是在认证流程的更早阶段（Authenticator）将请求参数存入UserSession，再在ProtocolMapper中读取，具体步骤如下：

1. 自定义Authenticator保存请求参数
   实现Authenticator接口，在authenticate方法中获取请求参数并存入UserSession的note中：

   @Override
   public void authenticate(AuthenticationFlowContext context) {
       HttpRequest request = context.getHttpRequest();
       String activeContext = request.getFormParameters().getFirst("activeContext");
       // 将参数存入UserSession，跨阶段共享
       context.getUserSession().setNote("activeContext", activeContext);
       
       // 继续原有认证逻辑，比如放行或其他处理
       context.success();
   }
   

   记得将这个Authenticator添加到你的认证流程中（比如在默认认证流程的合适节点插入）。

2. 修改ProtocolMapper从UserSession读取参数
   调整你的ProtocolMapper代码，从UserSession中读取之前保存的参数，而非直接获取HttpRequest：

   @Override
   protected void setClaim(IDToken token, ProtocolMapperModel mappingModel, UserSessionModel userSession, KeycloakSession keycloakSession,
           ClientSessionContext clientContext) {
       // 从UserSession的note中获取参数
       String contextId = userSession.getNote("activeContext");
       LOGGER.warn("activeContext: " + contextId);
       
       // 调用外部REST接口获取角色等信息，添加到Token Claim
       // 示例：token.setOtherClaims("custom_role", externalRoleInfo);
   }
   

二、在Authenticator Provider中向Token添加Claim的方法 #

Authenticator本身无法直接修改Token，但可以通过向UserSession/ClientSession存储数据，再由ProtocolMapper读取并添加Claim的方式实现，流程和上面一致：

1. 在Authenticator中调用外部REST接口获取角色等安全信息，存入UserSession的note或属性中；
2. 在自定义ProtocolMapper中读取这些数据，调用token.setOtherClaims()或对应方法将Claim添加到Token中。

如果需要更直接的方式，也可以实现TokenEnhancer接口，但这种方式需要扩展Keycloak的Token生成逻辑，复杂度较高，推荐优先使用UserSession共享数据的方案。

内容的提问来源于stack exchange，提问作者Niktron