如何彻底禁用Keycloak用户更新属性及拦截内置REST API入参

REST API场景下的非法用户属性注入问题，完全可以通过Keycloak官方提供的SPI扩展实现拦截，不需要修改核心源码，具体方案如下：

首选方案：扩展 UserProfile SPI #

这个SPI是Keycloak官方专门为统一用户属性管控设计的原生扩展点，所有涉及用户属性写入的链路（前端注册表单、账号自助页面、Admin REST API、用户端REST API），在数据持久化到数据库前都会经过该SPI的处理逻辑，可以直接复用你之前在FormAction里写的安全清洗逻辑，一次实现覆盖所有请求入口。
实现逻辑：

• 实现org.keycloak.userprofile.UserProfileProvider接口，重写属性校验、属性预处理的对应方法
• 在方法里配置业务允许写入的用户属性白名单，直接丢弃所有不在白名单内的自定义属性，和表单场景的清洗规则保持一致
• 将实现打包为Keycloak模块部署，在管理控制台启用自定义的UserProfileProvider即可生效
  注册场景非法注入属性示例1
  注册场景非法注入属性示例2

低版本兼容方案：扩展 JAX-RS Filter SPI #

如果你使用的Keycloak版本在12.0.0以下，没有提供可用的UserProfile SPI，可以通过扩展Resteasy JAX-RS过滤器实现拦截：

• 注册一个优先级最高的请求过滤器，匹配所有涉及用户属性写入的REST API路径（包括管理员侧用户管理接口、普通用户侧账号管理接口）
• 在过滤器中提前解析请求体内的attributes字段，执行和之前一致的安全清洗逻辑
• 清洗完成后重新构造请求体，再转发给后续内置接口处理即可

避坑提醒：不要用普通的EventListenerProvider做这个拦截，常规事件监听器是在用户数据已经写入数据库之后才触发，只能做事后审计，根本拦不住非法属性入库。
如果需要做不同角色的属性写权限细粒度管控，可以在上述实现基础上，结合AdminPermissionEvaluator SPI补充权限判断逻辑。

内容的提问来源于stack exchange，提问作者Rafid