Keycloak 4.8.0用户临时锁定后如何自定义提示消息？

我明白你的需求——想让用户明确知道自己账户因多次错误被临时锁定，而不是只看到模糊的「无效用户名/密码」提示。你修改了主题的messages文件却没生效，问题出在Keycloak默认刻意隐藏了锁定状态的提示逻辑，只改消息文本是不够的，得从这几个方面调整：

第一步：确认你的主题已正确应用 #

• 先检查你修改的adminlte主题是不是当前realm正在使用的登录主题：
  1. 登录Keycloak后台，进入你的目标realm
  2. 点击左侧菜单的「Realm Settings」→「Themes」标签页
  3. 把「Login Theme」下拉框改成你修改的adminlte，保存后重启Keycloak（旧版本缓存比较顽固，必须重启才会生效）

第二步：修改错误提示的触发逻辑（两种方法可选） #

方法一：快速修改登录模板（适合临时需求） #

只改messages文件没用，因为Keycloak在账户锁定时，还是会抛出invalid_user_credentials这个通用错误。你可以直接修改登录页面的模板，把这个通用错误替换成锁定提示：

1. 找到主题目录下的login/login.ftl文件（路径：themes\adminlte\login\login.ftl）
2. 找到错误提示的代码块，通常是这样的：

   <#if message??>
       <div class="alert alert-danger">${message}</div>
   </#if>
   

3. 改成判断错误类型的逻辑：

   <#if message??>
       <#if message.key == "invalid_user_credentials">
           <div class="alert alert-danger">${msg("accountTemporarilyDisabledMessage")}</div>
       <#else>
           <div class="alert alert-danger">${message}</div>
       </#if>
   </#if>
   

4. 重启Keycloak后测试——注意这个方法有个小缺点：不管是真的输错密码，还是账户被锁定，都会显示锁定提示，可能会泄露「该账户存在」的信息。如果想要精准区分，建议用方法二。

方法二：自定义认证器（精准判断锁定状态） #

这个方法能让系统真正区分「无效凭据」和「账户锁定」两种情况，抛出对应的提示：

1. 编写一个自定义认证器，继承Keycloak的UsernamePasswordForm类，重写密码验证逻辑，检查用户是否被临时锁定：

   @Override
   protected void validatePassword(ValidationContext context, UserModel user, String password) {
       super.validatePassword(context, user, password);
       // 检查用户是否处于临时锁定状态
       if (user.isTemporarilyDisabled()) {
           // 抛出临时锁定的错误码
           context.error(Errors.TEMPORARILY_DISABLED);
           context.getEvent().error(Errors.TEMPORARILY_DISABLED);
           context.success();
       }
   }
   

2. 把这个自定义认证器打包成JAR，放到Keycloak的standalone/deployments目录下
3. 登录Keycloak后台，进入你的realm，修改认证流程：
   • 点击左侧菜单的「Authentication」→「Flows」标签页
   • 找到「Browser」流程，点击「Copy」创建一个自定义流程（不要修改默认流程）
   • 在自定义流程里，替换「Username Password Form」为你自己的认证器
   • 把这个自定义流程设置为realm的默认浏览器流程
4. 回到主题的messages_en.properties，添加对应的错误消息：

   temp_disabled=Account is temporarily disabled, contact admin or try again later
   

   （因为Keycloak的TEMPORARILY_DISABLED错误码对应的消息键是temp_disabled，之前你加的accountTemporarilyDisabledMessage可以不用，或者配合模板使用）

第三步：清除缓存确保生效 #

修改完后，一定要删除Keycloak的缓存目录（比如standalone/data/tmp和standalone/data/keycloak-cache），然后重启Keycloak，否则旧的缓存会覆盖你的修改。

内容的提问来源于stack exchange，提问作者Sarang