Keycloak移动应用密码授权登录场景下客户端发起账户关联的实现问题

Keycloak原生的客户端发起账户关联接口，鉴权逻辑校验的是浏览器上下文中存储的Keycloak SSO会话Cookie，而非通过密码授权（password grant）拿到的访问令牌。
密码授权模式属于纯API层面的无状态交互，整个流程不会生成、也不会维护Keycloak对应的浏览器会话状态，因此直接携带API调用拿到的令牌请求关联接口时，会因为缺少会话校验上下文，无法正常触发关联流程。

• 方案1：临时会话注入适配WebView关联流程
  1. 当移动端需要触发账户关联时，先通过已获取的有效用户访问令牌，调用Keycloak的会话生成能力，生成与当前登录用户绑定的临时SSO会话标识
  2. 将该会话标识对应的Cookie值，手动写入移动端内置WebView的Cookie存储中
  3. 在WebView中加载符合规范的账户关联触发URL，携带文档要求的nonce、社交IdP标识、回调地址等必填参数
  4. 待WebView跳转到社交IdP授权页、完成授权并回调到Keycloak完成绑定后，通过JS桥接将关联结果传回原生应用，最后清理WebView中写入的临时会话Cookie
• 方案2：服务端API直连完成身份绑定
  1. 完全绕开前端层的客户端发起关联接口，由自建后端服务对接Keycloak的管理类接口完成绑定
  2. 流程上先通过后端校验移动端上传的用户访问令牌合法性，确认当前操作的用户身份
  3. 引导用户在移动端完成社交IdP的授权流程，拿到社交IdP返回的授权码
  4. 后端将该授权码传给Keycloak，通过/admin/realms/{realm}/users/{user-id}/federated-identity类接口直接完成当前用户与社交身份的绑定操作
  5. 绑定完成后将结果返回移动端，全程不依赖浏览器Cookie和前端跳转逻辑
• 方案3：登录模式适配原生关联能力
  逐步替换已不被OAuth2.0标准推荐给公开客户端使用的密码授权模式，改用带PKCE校验的授权码模式。该模式本身的交互链路会自动维护与用户绑定的临时会话状态，触发账户关联时只要在WebView中携带对应会话信息，即可和浏览器场景一致正常工作，无需额外开发Cookie注入逻辑。

风险提示：不要直接修改Keycloak关联接口的鉴权规则，去掉Cookie校验改为仅校验令牌有效性。这类改造会打破Keycloak本身的安全模型，存在身份冒用风险——攻击者拿到有效令牌后，可随意将自身账号绑定到任意社交身份上。

内容的提问来源于stack exchange，提问作者Jn Sk