如何让单个应用对来自不同Keycloak realm的用户做身份验证？

完全可以通过Keycloak原生特性实现单应用对接多realm的需求，以下是两个经过生产验证的实现方案，均满足租户数据完全隔离的要求：

方案1：动态realm路由（推荐，适配租户量级大的场景） #

• 登录前采集租户标识：可通过三种方式获取，不需要用户感知realm概念
  • 二级域名自动提取：比如https://租户标识.your-app.com
  • URL参数携带：比如访问链接带?tenantId=xxx参数
  • 登录页前置步骤：让用户输入企业编号/绑定的邮箱后缀
• 前端动态适配Keycloak配置：拿到租户标识后，直接映射为对应租户的realm名称，初始化Keycloak JS适配器时动态替换realm参数即可，Keycloak前端SDK原生支持动态修改配置。
• 后端校验逻辑调整：不需要为每个realm单独部署验证服务，只需调整JWT校验规则
  • 第一步先从JWT的iss（签发者）字段提取realm信息，校验该realm属于你系统的合法租户白名单
  • 第二步动态拉取对应realm的公钥校验JWT签名，也可以直接调用Keycloak的/realms/{realmName}/protocol/openid-connect/userinfo接口校验token有效性
• 隔离性天然满足：每个租户的管理员只能操作自身realm内的用户、角色配置，完全看不到其他租户的任何数据。

方案2：公共入口realm做身份联合（适配租户量级小的场景） #

• 单独搭建一个公共realm作为统一登录入口，把所有业务租户的realm都配置为该公共realm的身份提供者（Identity Broker）
• 前端只需要对接公共realm的固定配置，用户访问应用时统一跳转到公共realm的登录页，输入账号后Keycloak会自动匹配对应的租户realm完成身份验证，最后由公共realm统一签发token给应用
• 优势是前端不需要做动态配置适配，只需要维护一套Keycloak初始化参数。

• 租户量级超过1000时建议优先选方案1，方案2需要提前在公共realm配置每个租户的身份提供者规则，维护成本随租户数量上升快速增长
• 后端校验JWT时必须先校验iss字段的合法性，避免非法realm签发的token通过校验引发安全问题
• 可以开启Keycloak的realm资源配额限制，避免单个租户的配置占用过多服务器资源

内容的提问来源于stack exchange，提问作者beleza_pura