Keycloak如何按自定义属性过滤用户，仅返回与请求者locale相同的用户

你可以根据自身改造成本要求选择以下两种方案： #

方案一：UMS代理层实现（改造成本最低，无需修改Keycloak内核） #

该方案不需要改动Keycloak本身的配置或扩展，直接在你现有用户管理系统层处理即可：

• 所有管理员查询用户列表的请求全部走UMS代理，不要直接暴露Keycloak原生Admin API给管理员：
  1. 解析当前发起请求的管理员的token，从管理员用户信息中读取locale自定义属性值
  2. 调用Keycloak原生用户列表API时，追加q查询参数，参数值为locale:${管理员的locale值}，示例请求：

  {{keycloak_url}}/admin/realms/{{realm}}/users?q=locale:en
  

  Keycloak原生的/users接口原生支持q参数对用户自定义属性过滤，会自动返回符合条件的用户列表
  3. 把Keycloak返回的结果直接返回给调用的管理员即可

方案二：Keycloak 自定义扩展实现（支持管理员直接调用Keycloak原生API） #

如果你的场景需要让管理员直接调用Keycloak原生Admin API，你可以开发自定义JAX-RS过滤器扩展拦截对应请求：

• 开发Keycloak自定义Provider，拦截/admin/realms/{realm}/users的GET请求：
  1. 从请求上下文的SecurityContext中获取当前认证用户的信息，提取managers角色用户的locale自定义属性值
  2. 给原生的用户查询逻辑自动追加locale匹配的过滤条件，调用原生查询逻辑返回结果
  3. 可以根据需求加例外逻辑，比如超级管理员不需要过滤可以看到全部用户

注意事项 #

• 如果你使用方案二，开发完的自定义Provider需要放到Keycloak的providers目录下，重启Keycloak实例后生效
• 如果你使用方案一，需要做好权限控制，禁止管理员绕过UMS代理直接调用Keycloak原生Admin API，避免过滤逻辑失效

内容的提问来源于stack exchange，提问作者Chris K