Keycloak Inputless Authorisation 免手动输入凭证认证实现咨询

问题原因排查 #

你当前的实现存在3个核心错误，导致认证失败：

• 流程顺序错误：在authenticate方法中先调用了context.challenge()返回登录表单，后续设置的动态表单数据完全不会生效，认证流程会进入等待用户手动提交的状态。
• 缺失校验逻辑：重写的action方法直接标记认证成功，没有调用Keycloak原生的用户名密码校验逻辑，就算拿到有效凭证也无法完成认证。
• 不需要渲染表单：你要实现无需用户输入的自动认证，完全不需要返回表单页面，直接在认证阶段完成凭证校验即可。

修正后实现代码 #

自定义认证器 #

import javax.ws.rs.core.MultivaluedHashMap;
import javax.ws.rs.core.MultivaluedMap;
import org.keycloak.authentication.AuthenticationFlowContext;
import org.keycloak.authentication.authenticators.browser.UsernamePasswordForm;

public class CustomUPForm extends UsernamePasswordForm {

  @Override
  public void authenticate(AuthenticationFlowContext context) {
    System.out.println("Authenticating....");
    
    // 这里可以替换为从请求头/请求参数/第三方系统获取凭证的逻辑
    String username = "你的有效用户名";
    String password = "对应用户的有效密码";

    // 构造校验需要的表单数据
    MultivaluedMap<String, String> formData = new MultivaluedHashMap<>();
    formData.putSingle("username", username);
    formData.putSingle("password", password);
    // 把构造好的表单数据塞入请求上下文
    context.getHttpRequest().setFormParameters(formData);

    // 直接调用父类的校验逻辑完成原生认证，无需返回表单
    super.action(context);
  }

  // 不需要重写action方法，直接复用父类的校验逻辑即可
}

自定义认证器工厂 #

原有工厂代码无需修改，保持你当前的实现即可。

表单文件说明 #

如果不需要支持降级手动输入，你可以完全删除自定义的ftl表单文件，也不需要在认证流程中配置表单相关的渲染逻辑。

额外注意事项 #

• 请提前确认你填入的用户名、密码在当前Keycloak Realm中是有效存在的，且用户状态正常未被锁定。
• 如果你的凭证是从请求参数、请求头等外部来源获取的，请务必做好安全校验，增加签名验证、来源IP校验等逻辑，避免出现凭证伪造、越权登录的安全问题。
• 如果需要兼容手动输入的降级场景，你可以增加判断逻辑：当动态获取凭证失败时再调用context.challenge()返回表单让用户手动输入。

内容的提问来源于stack exchange，提问作者Scott