Keycloak中如何更新用户从所属用户组继承的属性？

TokenAccess.setOtherClaims() 无法修改用户组继承属性是Keycloak的固有设计逻辑导致的：
组继承属性不属于用户自身的独立声明字段，是在token生成阶段按照用户所属组的层级关系动态聚合计算得到的值，不会被加载到可自由修改的otherClaims存储区，调用该方法只能新增/修改用户自定义的额外声明，完全不会触达组继承链路聚合出来的属性。同时Keycloak的属性加载有固定优先级：用户自身属性 > 直接关联子组属性 > 上层嵌套父组属性，同key属性会按照优先级自动覆盖。

• 方案1：直接修改对应用户组的属性配置
  这是最符合Keycloak设计规范的方案。使用管理员权限调用Keycloak Admin API的组更新接口，修改目标组的属性值，后续所有归属该组（含嵌套继承关系）的用户生成token时，都会自动拉取更新后的组属性值，无需针对单个用户做重复操作。
• 方案2：为单个用户覆盖继承的属性值
  如果只需要调整特定用户的继承属性生效值，不需要修改全组配置，直接调用Admin API的用户属性更新接口，给目标用户添加同key的自定义属性即可。按照Keycloak的属性优先级规则，用户自身配置的属性会覆盖所有组继承的同key属性，token生成时会直接返回用户配置的值，达到修改继承属性实际生效效果。
• 方案3：在token生成链路动态替换属性值
  如果不需要持久化修改属性、仅需要调整token最终返回的属性内容，不要在token exchange完成后修改claim，而是自定义实现Keycloak的OIDCProtocolMapper扩展类，重写组属性聚合逻辑，在mapper执行阶段将目标继承属性替换为需要的值，再将该自定义mapper绑定到对应客户端的作用域中。这种方式会在JWT签名组装前修改最终输出的声明内容，可以覆盖包括组继承属性、用户自身属性在内的所有token字段。

注意：Keycloak颁发的access token是带数字签名的JWT结构，拿到token后直接篡改payload内容会导致签名校验不通过，所有资源服务器都会判定该token无效。

内容的提问来源于stack exchange，提问作者Ahmed wedad