Cypress测试Keycloak OTP登录时otp_secret获取问题咨询

为什么调用凭证接口拿不到otp_secret #

这是Keycloak的默认安全设计：TOTP密钥仅在用户首次绑定OTP凭证时明文返回一次，后续任何查询接口都不会再暴露明文secret值，你当前调用的GET /{realmName}/users/{userId}/credentials接口本身就不返回secret字段，不是参数传错或者权限不够的问题。

测试场景下获取otp_secret的可行方式 #

• 预置测试账号时留存secret：专门给自动化测试创建独立的测试账号，在给这些账号绑定TOTP的环节，直接把当时页面展示、或者绑定接口返回的secret值和对应的credential_id配对，存到测试环境配置文件里。如果测试账号已经绑定过OTP，直接删除原有OTP凭证重新绑定，绑定时留存secret即可，禁止对生产账号执行该操作。
• 通过管理接口预置自定义secret：调用Keycloak管理端创建凭证的接口POST /admin/realms/{realm}/users/{id}/credentials创建OTP凭证时，直接在请求参数里传入你自己提前生成的otp_secret，Keycloak会直接使用该值存储凭证，从创建之初你就持有对应的secret，不需要后续查询。
• 测试环境自定义SPI扩展：如果是团队共用的持久化测试环境，可以开发一个仅在测试环境启用的自定义SPI，允许管理员账号通过内部接口获取指定测试用户的OTP secret，生产环境必须完全移除/禁用该扩展，避免安全泄漏。

更易用的Cypress对接Keycloak OTP测试方案 #

不需要完全依赖cypress-keycloak包的能力，以下方案在实际测试场景中稳定性更高：

• 测试环境加OTP校验旁路：给测试环境的Keycloak添加自定义认证器逻辑，当请求携带测试专用的标识头时，直接跳过OTP校验，或者固定接受某一个预设的测试验证码，Cypress运行用例时自动注入该请求头即可，不需要动态生成OTP码，维护成本极低。
• 自主模拟登录流程+实时生成OTP码：如果需要覆盖完整的登录表单交互逻辑，不需要依赖封装好的cy.loginOTP方法。提前把测试账号的otp_secret存在Cypress环境变量里，用轻量的TOTP库根据secret实时生成当前有效的6位验证码，再模拟用户操作填写用户名、密码、验证码提交即可，适配所有Keycloak版本，不会出现第三方包和Keycloak版本不兼容的问题。核心生成验证码的代码参考：

import { TOTP } from 'otpauth'
const generateValidOtp = (secret) => {
  const totp = new TOTP({
    secret: secret,
    algorithm: 'SHA1',
    digits: 6,
    period: 30
  })
  return totp.generate()
}

• 跳过前端登录流程直接拿鉴权态：如果你的测试用例不需要覆盖登录表单本身的逻辑，只是需要登录后的会话状态做后续功能验证，可以直接在Cypress里调用Keycloak的密码模式授权接口拿access token，注入到浏览器会话里即可，执行速度比模拟页面登录快3~5倍，稳定性更高。

注意：以上所有涉及修改认证逻辑、获取明文secret的操作，仅允许在隔离测试环境执行，严禁在生产环境开启相关配置，避免引发安全事故。

内容的提问来源于stack exchange，提问作者Punith kumar