Keycloak两步认证流配置：如何实现SMS验证优先于OTP展示

配置SMS为更高优先级但认证页仍优先展示OTP，按以下顺序排查修复：

• 清除用户MFA偏好缓存
  绝大多数身份认证系统会默认缓存用户上次成功验证的MFA方式，该配置优先级高于全局认证流顺序。如果当前测试账号之前使用OTP完成过二次验证，系统会默认优先弹出OTP验证页。删除该账号的MFA历史偏好记录，或使用从未绑定/验证过MFA的全新账号重试即可。
• 校验MFA启用范围配置
  确认SMS验证的启用规则覆盖当前测试用户所属的用户组/组织，同时检查OTP是否被设置为「全局强制默认启用」状态——如果OTP被标记为强制启用项，会直接跳过认证流顺序判断优先弹出。
• 排查条件访问策略冲突
  检查是否配置了额外的条件访问规则（比如异常IP、未知设备触发高安全验证的规则），这类条件策略的执行优先级高于基础认证流的顺序配置，若规则命中OTP验证要求会直接触发OTP展示。
• 检查自托管认证页逻辑
  如果使用的是自定义开发的自托管认证页，确认前端渲染逻辑没有硬编码OTP为默认展示项，确保代码正确读取后端返回的优先认证方式标识。

测试修复效果时必须使用无MFA验证历史的全新账号，避免缓存数据干扰判断结果。

内容的提问来源于stack exchange，提问作者Ernest Kahnwald