如何阻止用户在Keycloak注册时添加自定义属性？

通过修改Keycloak注册模板添加自定义属性（比如示例中的mobile）时，用户确实能通过篡改HTML的id和name字段提交未授权的自定义属性。要解决这个问题，核心是从后端层面限制可接受的用户属性——前端的任何限制都能被绕过，必须依赖Keycloak的后端校验机制，具体有几种可行方案：

1. 配置用户属性白名单（最简便的方法） #

Keycloak自带属性白名单功能，只有在名单内的属性才会被系统接受并保存：

• 登录Keycloak管理控制台，进入目标Realm
• 进入Realm Settings → User Profile页面
• 在Attributes区域，点击「Add Attribute」添加允许的属性（比如mobile），可同时配置属性的类型、是否必填、长度限制等规则
• 保存配置后，Keycloak会自动忽略任何不在白名单内的属性提交，即使前端篡改字段也无效

2. 自定义User Profile Provider（复杂场景） #

如果需要更灵活的属性校验逻辑（比如自定义格式验证、权限判断），可以编写自定义的User Profile Provider：

• 创建一个Java类，继承Keycloak默认的DefaultUserProfileProvider
• 重写validate方法，在方法中过滤掉未授权的属性，或对属性值做自定义校验
• 将该Provider打包成JAR，部署到Keycloak的providers目录，然后在控制台启用该Provider

示例代码片段（核心逻辑）：

@Override
public UserProfile validate(UserProfileContext context, Map<String, List<String>> attributes, UserProfileProvider.RequirementChange requirementChange) {
    // 只保留允许的属性
    Set<String> allowedAttributes = Set.of("mobile", "email", "username");
    attributes.keySet().retainAll(allowedAttributes);
    // 调用父类的默认校验逻辑
    return super.validate(context, attributes, requirementChange);
}

3. 添加自定义认证流程验证器 #

在注册流程中插入自定义验证步骤，拦截并校验提交的属性：

• 进入Authentication → Flows页面，复制默认的「Registration」流程
• 在复制后的流程中，添加一个新的Execution，选择「Custom Authenticator」类型
• 编写自定义Authenticator类，在action方法中检查请求参数，若发现未授权的属性则拒绝注册请求
• 将自定义Authenticator部署后，在流程中启用该步骤，并调整执行顺序（建议放在「User Creation」之前）

内容的提问来源于stack exchange，提问作者mhrsalehi