通过Keycloak获取GitHub访问令牌遇到问题

嘿，我来帮你搞定这个问题！之前我在集成Keycloak和GitHub的时候，也碰到过一模一样的困扰——明明登录流程正常，但就是拿不到GitHub的access token。其实问题大多出在配置细节上，我给你梳理几个靠谱的解决办法：

一、先把基础配置拉满（最可能解决问题的一步） #

首先Keycloak默认不会存储第三方身份提供商的令牌，所以第一步必须确认这个开关是开的：

• 进入Keycloak后台，找到你配置的GitHub身份提供商（在对应Realm的「Identity Providers」菜单下）
• 切换到「Settings」标签页，找到Store Tokens选项，确保它是勾选状态，保存配置

接下来配置正确的映射器，把GitHub的access token同步到用户令牌或属性里：

• 还是在GitHub身份提供商的页面，切换到「Mappers」标签页，点击「Add」创建新映射器
• 填写以下关键配置：
  • Name：随便取个好记的，比如「GitHub Access Token Mapper」
  • Mapper Type：选择「Social Attribute Mapper」
  • Social Attribute Name：填access_token（这是GitHub返回的令牌字段名）
  • User Attribute Name：可以填github_access_token（这个会把令牌存在用户的属性中）
  • Claim Name：同样填github_access_token（如果要把令牌放到Keycloak的ID Token/Access Token里，这个字段很重要）
  • Claim JSON Type：选「String」
  • 按需勾选「Add to ID Token」「Add to Access Token」「Add to Userinfo」（至少勾一个，不然你拿不到这个字段）
• 保存映射器，然后重新登录测试，现在应该能在对应的令牌里找到github_access_token字段了

二、默认映射器搞不定？试试自定义脚本映射器 #

如果上面的配置还是没效果，可能是默认映射器的逻辑有局限，用脚本映射器更灵活：

• 同样在GitHub身份提供商的「Mappers」页面，点击「Add」创建新映射器
• 配置如下：
  • Name：比如「GitHub Token Script Mapper」
  • Mapper Type：选择「Script Mapper」
  • Script Type：选「JavaScript」
  • 把下面的脚本粘贴进去：

// 从用户的联邦身份数据中获取GitHub的access token
var githubTokens = user.getFederationLink() ? session.getContext().getIdentityProvider().getStoredTokens(user) : null;
if (githubTokens && githubTokens.length > 0) {
    var accessToken = githubTokens[0].getTokenString();
    // 将令牌添加到Keycloak的令牌中
    token.setOtherClaims("github_access_token", accessToken);
}

• 勾选你需要的「Add to ID Token」「Add to Access Token」等选项，保存后重新登录测试

三、后端服务可以用Keycloak管理API拿令牌 #

如果不想把GitHub令牌放到用户的前端令牌里（出于安全考虑），后端服务可以通过Keycloak的管理API来获取：

1. 先获取Keycloak管理API的访问令牌（用管理员账号或者有对应权限的客户端凭证调用）
2. 调用接口：GET /auth/admin/realms/{你的Realm名}/users/{用户ID}/federated-identity/github
3. 接口返回的JSON数据里，token字段就是你要的GitHub access token

最后提醒 #

先从第一步的基础配置排查，90%的情况都是没开「Store Tokens」或者映射器的选项没勾对。如果还是不行，脚本映射器的灵活性更高，或者后端用管理API来取也很稳妥。

内容来源于stack exchange