仅知晓用户名时如何获取Keycloak对应用户的access token

首先明确：Keycloak原生没有面向公网暴露、仅传用户名就能直接返回用户access token的接口——这种设计本身完全违背OAuth2.0与Keycloak的安全基线，只要知道用户名就能冒领任意用户token属于严重的身份伪造漏洞，官方默认不会支持。
但你描述的「用户完成前置任务后自动登录」的场景，完全可以通过Keycloak官方提供的标准能力在服务端侧实现，全程逻辑必须收敛在你的后端服务，禁止把相关鉴权信息暴露到前端，具体实现方式如下：

实现步骤 #

• 配置Keycloak客户端权限：给你的后端服务对应的Keycloak客户端开启「服务账号（Service Accounts）」模式，为该服务账号分配token-exchange系统权限，同时配置该服务账号允许对目标域用户执行模拟（Impersonation）操作，遵循最小权限原则，不要给服务账号分配多余的域管理权限。
• 业务侧前置校验：当用户完成前置任务触发自动登录逻辑时，你的后端必须先校验当前请求的合法性，比如核对任务流程绑定的临时会话标识、任务完成凭证，确认当前请求的操作人确实是对应用户名的本人，从根源上防止冒领。
• 服务侧获取服务账号凭证：校验通过后，后端用客户端凭证模式（Client Credentials Grant）向Keycloak申请该服务账号自身的access token。
• 调用Token Exchange接口换用户token：拿着服务账号的access token调用Keycloak的标准token交换端点，指定目标用户名换对应应用的用户access token，请求示例如下：

POST /realms/{你的业务realm名称}/protocol/openid-connect/token
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:token-exchange&
client_id={后端服务对应的客户端ID}&
client_secret={后端服务对应的客户端密钥}&
subject_token={上一步拿到的服务账号access token}&
requested_token_type=urn:ietf:params:oauth:token-type:access_token&
audience={前端业务应用对应的客户端ID}&
user_name={需要自动登录的目标用户名}

• 登录态下发：拿到接口返回的用户access token、refresh token后，后端按自身业务的登录态规则将凭证返回给前端，完成自动登录流程。

避坑提醒 #

不要为了省事采用非官方的野路子实现：

• 不要自定义密码 grant 类型给所有用户设置通用万能密码，更不要直接修改Keycloak源码跳过密码校验，这类实现不仅有极大安全隐患，后续版本升级也会出现兼容问题
• 不要把Keycloak的客户端密钥、服务账号权限下放给前端，所有token申请操作必须在后端服务内部完成
• 不要跳过业务侧的身份校验环节，绝对不能出现「传任意用户名就能返回对应token」的逻辑

内容的提问来源于stack exchange，提问作者Prabath