Keycloak令牌的sub claim能否作为内部数据库用户ID安全使用？

直接给出核心结论与实操说明：

1. 与Azure AD oid 等效的原生声明 #

Keycloak 同一 Realm（域）下的用户全局唯一标识是用户实体的固有UUID，你在Keycloak管理控制台打开任意用户详情，URL路径里的那串UUID就是这个值。
默认情况下（Client的「Subject Type」配置为默认值public时），ID令牌里的sub claim 就直接等于这个全局用户ID，同一个用户在同一Realm下的所有Client拿到的sub值完全一致，和Azure AD的oid作用完全相同，不会因为Client不同、用户改用户名/邮箱、绑定/解绑社交账号发生变化。
只有当你主动把Client的Subject Type改成pairwise（成对主题，用于防止跨Client追踪用户的隐私场景）时，Keycloak才会针对不同Client生成不同的sub值，这时候sub才不具备全局唯一性。

2. 是否需要自定义全局唯一ID声明 #

分两种场景判断：

• 如果你所有接入的Client都使用默认的public Subject Type，完全不需要自定义声明，直接用原生sub即可。
• 如果你有部分Client启用了pairwise模式，又需要在令牌中拿到全局用户ID，不需要写自定义扩展，直接在对应Client的Mappers中添加一个内置的「User Property」映射，把用户的id属性映射为你需要的自定义claim（比如global_user_id）就行，配置完签发的令牌就会自带这个固定不变的全局用户ID。

3. 直接用sub作为MongoDB用户集合_id主键的可行性 #

在满足前置条件的前提下完全可行，也是官方推荐的做法，需要注意以下几点：

• 确保你的所有业务系统都接入同一个Keycloak Realm，不同Realm的用户ID是独立命名空间，逻辑上不具备全局唯一性（虽然UUID实际碰撞概率可以忽略）。
• 不要在后续业务迭代中把对应Client的Subject Type改成pairwise，如果一定要改，提前把主键字段切换为前面提到的自定义用户ID映射claim。
• Keycloak生成的用户ID是标准UUID字符串，MongoDB的_id字段原生支持字符串类型，不存在存储兼容问题。
• 不管是自有账号密码注册的用户，还是后续接入社交登录自动创建的用户，Keycloak都会在用户首次创建时生成全局唯一的固定UUID，后续用户属性变更、身份绑定关系调整都不会修改这个值，稳定性远高于邮箱、用户名这类可变字段。

额外实操提醒 #

你提到希望复用令牌ID省去额外用户查询，这个逻辑成立的前提是你已经严格校验了JWT的签名、过期时间、签发方、受众等合法性字段，校验通过的JWT里的sub是完全可信的。
但注意不要完全跳过用户状态校验：如果涉及用户封禁、权限冻结、角色调整这类强一致场景，建议给用户信息加1-5分钟的短缓存，既减少大部分查询请求，也能避免旧令牌在有效期内出现权限不一致的问题。

内容的提问来源于stack exchange，提问作者SomeDeveloper