是否可通过Keycloak实现移动应用的非REST API直接身份认证？

你要的这种不依赖Keycloak REST API、登录完直接使用APP的效果，直接走OIDC 授权码+PKCE标准流程就行，全程不需要调用Keycloak的管理类REST接口，也不用自己写中转后端，是原生移动应用对接Keycloak的官方推荐方案。

前置Keycloak侧配置 #

• 进入你使用的Realm，新建公开客户端，绝对不要选机密客户端——移动应用的安装包可以被反编译，根本存不住客户端密钥
• 有效重定向URI填你APP的自定义唤起Scheme，比如myapp://keycloak/callback，不要随便填HTTP地址，除非你已经配置了App Link/Universal Link
• 客户端设置里强制开启PKCE（证明密钥），关闭客户端认证开关，直接禁用「资源所有者密码授权流」，这个流程对移动端不安全
• 全程不需要给客户端开任何Keycloak REST API权限，后续流程不会用到管理接口

移动端本地实现步骤 #

• 本地随机生成PKCE所需的code_verifier（长度43-128的随机字符串）和对应的S256加密后的code_challenge，code_verifier存在APP本地安全存储区，不要外传
• 拉起系统默认浏览器（不要用APP内嵌WebView，过审和安全都有问题）访问Keycloak的授权端点，参数参考如下：

https://<你的Keycloak访问域名>/realms/<Realm名称>/protocol/openid-connect/auth
  ?client_id=<刚才创建的客户端ID>
  &redirect_uri=myapp://keycloak/callback
  &response_type=code
  &scope=openid profile  // 按需添加你需要的scope
  &code_challenge=<生成的code_challenge>
  &code_challenge_method=S256

• 在APP的配置里注册URL Scheme拦截规则，当系统浏览器跳转到myapp://keycloak/callback时自动唤起你的APP，从回调URL的参数里取出授权码code
• 拿到授权码后，直接向Keycloak的Token端点发POST请求换取身份凭证，这步不需要传客户端密钥，只要带上之前本地存的code_verifier即可：

POST https://<你的Keycloak访问域名>/realms/<Realm名称>/protocol/openid-connect/token
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code
&client_id=<你的客户端ID>
&code=<回调拿到的授权码>
&redirect_uri=myapp://keycloak/callback
&code_verifier=<本地存储的verifier>

• 把接口返回的access_token、refresh_token存到系统安全存储区（iOS用Keychain，安卓用Keystore），后续访问你自己的业务接口时携带access_token做鉴权即可；token过期时用refresh_token静默换新，不需要用户重复登录

踩坑提醒：别为了省事用资源所有者密码流——就是自己在APP里画登录页，让用户输账号密码直接调接口拿token的方案。这种模式你要自己处理多因素认证、密码重置、社交登录、验证码等一堆Keycloak本来就有的能力，后续Keycloak升级也可能直接砍掉这个非标准流程的支持，完全没必要。走浏览器授权流的话，你在Keycloak侧配的所有登录能力（比如短信验证、第三方登录、注册页自定义）都直接生效，不用改APP端代码。

内容的提问来源于stack exchange，提问作者Prabath