Keycloak配置无密码认证为首选，登录却默认显示密码表单问题排查

问题描述 #

已配置Keycloak认证流，预期行为：

• 用户输入用户ID后，默认触发无密码（安全密钥）认证
• 可切换至密码认证作为备选

实际情况：输入用户ID后默认显示密码表单，需手动切换“尝试其他方式”→“安全密钥”才能触发无密码认证，且该用户已注册无密码设备，认证流中无密码已设为首个备选选项。

可能的解决方向 #

1. 排除浏览器自动填充干扰 #

浏览器的密码自动填充功能可能会优先渲染密码表单，尤其是用户之前使用过密码登录的场景：

• 用浏览器隐私模式测试登录流程
• 清除当前浏览器对localhost:8080的保存密码和表单数据

2. 验证认证流的条件与执行逻辑 #

检查自定义认证流的配置细节：

• 确认无密码认证步骤的执行条件：是否添加了“用户已注册WebAuthn设备”的条件？如果条件未匹配，Keycloak会跳过该步骤直接显示密码表单
• 检查步骤的执行策略：若将无密码认证设为REQUIRED，需确保该步骤失败后能 fallback到密码认证；若设为ALTERNATIVE，需确认流的结构是“先尝试无密码，再提供密码选项”

3. 调整用户默认认证方式 #

Keycloak会优先使用用户最近或默认的认证方式：

• 登录用户账户（通过安全密钥登录后），进入安全→认证方式，将“安全密钥”设为默认认证方式

4. 确认Realm登录流程覆盖设置 #

在Realm配置的登录标签页：

• 找到“认证流程覆盖”区域，确认“登录”流程选择的是你自定义的包含无密码认证的流程，而非默认的browser流程

5. 检查WebAuthn配置细节 #

在Realm的安全→WebAuthn标签页：

• 确认“Allow Resident Key”设为Required或Preferred，确保设备能被自动识别
• 检查“User Verification Requirement”是否设置合理，避免因验证要求过高导致自动触发失败

内容的提问来源于stack exchange，提问作者codependent