Keycloak配置WebAuthn无登录认证报错问题求助

报错核心原因 #

现有已绑定的WebAuthn凭据不支持无用户名发现：
在切换无登录认证流之前绑定的安全密钥/Windows Hello凭据，是在未强制要求常驻密钥（Resident Key/可发现凭据）的策略下生成的，这类凭据不会在硬件侧存储Keycloak侧的用户标识信息，必须由用户先输入用户名，Keycloak才能拉取对应用户存储的公钥完成校验。直接移除认证流中的用户名输入步骤后，Keycloak无法获取待校验的用户范围，会直接抛出无效用户名密码错误。
同时要注意：非可发现凭据就算后续修改策略要求RKey，也无法自动升级为可发现凭据，必须重新绑定才能生效。

修复步骤 #

• 清空所有测试用户下已绑定的旧WebAuthn凭据，旧凭据完全不支持无用户名识别，无保留价值。
• 校验WebAuthn无密码策略配置：
  • Require Resident Key 选Required（部分旧版本Keycloak选Yes即可，不要选Preferred，该模式下部分浏览器/Windows Hello不会生成本地存储的可发现凭据）
  • User Verification Requirement 保持required，签名算法同时勾选ES256、RS256的配置符合Windows Hello兼容要求，无需调整
  • 确认WebAuthn RP ID配置和访问Keycloak的根域名完全一致，HTTPS配置正常（localhost调试除外，HTTP环境下浏览器会禁用可发现凭据接口）
• 调整认证流配置：不要直接删除系统默认浏览器流中的原有执行器，复制默认浏览器流生成自定义流后，将Username Form、Password Form执行器的执行要求设为DISABLED，保留WebAuthn Passwordless Authenticator为REQUIRED，同时保留会话创建、Cookie校验类基础执行器不要改动，避免流校验失败。将自定义流绑定到「Browser Flow」绑定点即可。
• 重新为用户绑定WebAuthn凭据：绑定过程中弹出Windows Hello验证时，确认提示包含“保存登录凭据到设备/安全密钥”类表述，此时生成的才是符合要求的可发现凭据。绑定完成后退出登录，点击登录按钮会直接触发Windows Hello验证，无需输入任何用户名密码。

相关疑问解答 #

• 仅通过安全密钥完成新用户注册、不设置密码：完全支持。单独复制默认注册流生成自定义注册流，将Password相关验证执行器设为DISABLED，保留WebAuthn Passwordless Register为REQUIRED，按需保留用户资料填写项即可。注意注册流关联的WebAuthn策略同样要强制要求Resident Key，否则注册生成的凭据仍是非可发现类型，登录时还是需要输入用户名。
• 切换无登录流后新用户注册报错：问题根源是修改浏览器流时删除了会话初始化、上下文校验类基础执行器，注册流程的中间跳转、注册完成回跳环节依赖这些执行器完成上下文传递。不要直接修改系统默认流做全量替换，复制独立的自定义流分别配置登录、注册场景，注册流内要保留User Creation执行器为REQUIRED，确保走WebAuthn绑定前已生成有效临时用户上下文，即可解决报错。

额外注意事项 #

Windows Hello的可发现凭据按RP ID（即Keycloak访问根域名）做硬件级隔离，后续如果修改Keycloak访问域名、调整RP ID配置，所有已绑定的可发现凭据都会失效，需要用户重新绑定。

内容的提问来源于stack exchange，提问作者jafkn