Keycloak自定义UserStorageProvider用户自助改密码报只读错误如何解决

问题根因 #

你仅重写了接收RequiredAction枚举参数版本的addRequiredAction/removeRequiredAction方法，没有覆盖接收字符串参数的重载版本。Keycloak用户自助改密码流程中调用的是字符串参数的方法，因此直接走到父类AbstractUserAdapter的默认实现，抛出只读异常。 #

解决方案 #

按以下步骤调整代码即可：

• 补充重写字符串参数版本的必填动作操作方法，逻辑和你已实现的枚举版本保持一致

@Override
public void removeRequiredAction(String action) {
    if (RequiredAction.UPDATE_PASSWORD.name().equals(action)) {
        return;
    }
    super.removeRequiredAction(action);
}

@Override
public void addRequiredAction(String action) {
    if (RequiredAction.UPDATE_PASSWORD.name().equals(action)) {
        return;
    }
    super.addRequiredAction(action);
}

• 重写自定义UserAdapter的isReadOnly()方法，开放写入权限（也可根据操作类型做更细粒度的权限控制）

@Override
public boolean isReadOnly() {
    return false;
}

• 可选配置校验
  • 确认你的CustomUserStorageProvider已经实现CredentialInputUpdater接口且updateCredential方法逻辑正常（管理员后台可改密码说明该步已完成）
  • 测试阶段建议先关闭对应用户存储的缓存（在Keycloak管理后台用户存储配置页取消勾选「Cache enabled」选项），避免缓存层拦截自定义方法调用
  • 确认你的CustomUserStorageProvider的supportsWrite()方法返回true，告知Keycloak该存储支持写入操作

内容的提问来源于stack exchange，提问作者Brad Stallion