Keycloak 12.0.4：通过API修改用户密码时能否实现OTP验证（无需扩展）

以下是几种无需扩展的实现方案：

• 利用重新认证机制前置验证
  在调用密码修改PUT API前，先引导用户完成Keycloak的重新认证流程。前端可以跳转至Keycloak的认证端点，携带prompt=login和scope=openid参数，强制用户重新输入账号密码并完成OTP验证（若用户已开启双因素认证）。认证通过后获取新的Access Token，使用该Token调用密码修改API即可——Keycloak会自动校验Token的有效性，确保用户刚完成了强验证步骤。

• 借助Action Token实现带验证的密码修改
  通过Keycloak Admin API生成UPDATE_PASSWORD类型的Action Token，生成时可指定要求用户先完成OTP验证（针对已配置2FA的用户）。用户点击对应链接后，Keycloak会先触发OTP验证流程，验证通过后才进入密码修改界面。这种方式完全依托Keycloak原生功能，无需自行调用PUT API。

• 调整客户端认证策略强化验证
  若你通过自定义客户端调用密码修改API，可在客户端配置中关闭Direct Access Grants Enabled，或设置客户端对敏感操作（如密码修改）要求重新认证。同时确保用户已启用双因素认证，这样重新认证时会自动触发OTP验证环节。

内容的提问来源于stack exchange，提问作者Lom Mi