如何阻止IdP用户登录时被保存至Keycloak本地存储

Keycloak IdP用户信息不存储到本地实现方案 #

管理控制台原生配置说明 #

Keycloak 官方管理控制台没有提供直接一键禁止IdP用户信息落本地存储的开关，仅存在部分可以减少冗余数据存储的配置项：

• 进入目标 Realm → 点击左侧菜单「Identity Providers」→ 选中你已经配置的第三方IdP
• 切换到「Advanced」标签页，找到「Import user profile」选项，设置为Off
  • 该配置关闭后，IdP返回的用户扩展属性不会同步更新到Keycloak本地用户属性表，但依旧会生成包含基础用户标识（用户名、唯一ID）的本地用户条目，无法完全避免数据落盘

编程实现完全不落盘方案 #

如果需要完全不生成本地用户存储条目，需要通过Keycloak SPI（服务提供商接口）扩展认证逻辑实现，核心逻辑为拦截IdP认证成功后的用户持久化流程，改用临时用户对象维持会话，具体操作步骤如下：

核心逻辑说明：自定义身份提供商的用户导入逻辑，跳过本地用户表的写入操作，构造的临时用户仅存在于会话缓存中，会话过期后所有用户数据自动清除，无持久化残留。

1. 引入Keycloak SPI开发依赖
   以Maven项目为例，引入和你部署的Keycloak版本一致的SPI依赖：

<dependencies>
    <dependency>
        <groupId>org.keycloak</groupId>
        <artifactId>keycloak-server-spi</artifactId>
        <version>你的Keycloak服务版本号</version>
        <scope>provided</scope>
    </dependency>
    <dependency>
        <groupId>org.keycloak</groupId>
        <artifactId>keycloak-server-spi-private</artifactId>
        <version>你的Keycloak服务版本号</version>
        <scope>provided</scope>
    </dependency>
</dependencies>

2. 自定义IdP用户导入逻辑
   可以选择继承AbstractIdentityProviderMapper类，重写importNewUser方法，在方法内跳过本地用户创建逻辑，直接构造临时用户对象：

• 把IdP返回的所有用户属性写入临时用户的会话属性集合，不需要调用持久化接口
• 可以根据IdP返回的用户属性，动态给临时用户赋予对应角色、权限，不需要存储到本地权限表

3. 部署自定义扩展到Keycloak

• 把开发完成的代码打包为jar包，放入Keycloak服务根目录下的providers/文件夹
• 重启Keycloak服务，进入对应IdP的「Mappers」配置页，添加你自定义的Mapper，替换默认的用户导入Mapper即可生效

注意事项

• 临时用户仅在当前登录会话有效期内有效，用户退出、会话超时后所有用户数据会被完全清除，再次登录需要重新从IdP拉取用户信息
• 如果需要用到用户组、角色映射能力，可以将映射规则配置在自定义Mapper中，根据IdP返回的属性动态赋值，不需要依赖本地存储的关联关系

内容的提问来源于stack exchange，提问作者Nury Garryyev