ShinyProxy能否获取真实用户名替代Keycloak返回的不唯一拼接姓名值？

你遇到的场景不属于Keycloak的默认配置故障，本质是ShinyProxy从Keycloak返回的身份令牌中提取用户标识的字段映射不匹配导致的。
整个认证链路的运行逻辑是：Keycloak完成用户认证后，会在返回的JWT身份令牌中携带多类用户属性，ShinyProxy默认从令牌中取指定字段的值，赋值给SHINYPROXY_USERNAME环境变量。你现在拿到名+姓的拼接字符串，说明当前配置下ShinyProxy提取的是令牌中的name字段——这个字段本身就是Keycloak根据用户的名、姓自动拼接生成的全名字符串，自然不具备唯一标识性。
Keycloak默认在标准令牌中会内置以下和用户标识相关的字段：

• preferred_username：对应用户在Keycloak域内的真实登录账号，也就是用户登录时输入的唯一标识名
• given_name：用户的名
• family_name：用户的姓
• name：名+姓自动拼接的全名字符串，即你当前通过环境变量读到的内容

方案一：调整ShinyProxy的字段映射（推荐） #

打开ShinyProxy的核心配置文件application.yml，找到OIDC对接Keycloak的配置段，新增用户名属性映射规则，指定从令牌的preferred_username字段取值填充SHINYPROXY_USERNAME：

shinyproxy:
  authentication: oidc
  oidc:
    issuer: <你的Keycloak对应域的访问地址>
    client-id: <ShinyProxy在Keycloak中注册的客户端ID>
    client-secret: <ShinyProxy在Keycloak中注册的客户端密钥>
    # 新增配置项，指定取值来源为Keycloak的真实登录名字段
    username-attribute: preferred_username

如果使用的是ShinyProxy 2.6之前的旧版本，没有原生支持的username-attribute配置项，也可以通过Keycloak的令牌映射功能调整字段对应关系，但更推荐升级到支持自定义用户名属性的版本，避免修改标准令牌字段影响其他对接的服务。

方案二：校验Keycloak的令牌映射配置 #

登录Keycloak管理后台，进入ShinyProxy对应客户端的配置页，切换到Mappers标签，确认默认的用户名映射器处于启用状态：

• 映射器类型为User Property
• 关联的用户属性为username（即Keycloak用户列表中展示的登录名字段）
• 令牌Claim名称为preferred_username
• 同时勾选「添加到ID令牌」「添加到访问令牌」两个选项，确保字段会随认证响应传递给ShinyProxy
  如果你之前误把preferred_username的映射规则改成了名+姓的拼接，才属于Keycloak侧的配置问题，否则默认配置下该字段就会返回真实登录名。

• 配置修改完成后必须重启ShinyProxy服务，同时清理浏览器内残留的旧认证会话，避免旧令牌缓存导致测试结果不符合预期
• 可以临时开启ShinyProxy的debug日志，直接打印收到的令牌所有字段内容，确认preferred_username的取值是否符合预期
• 不要错将email字段配置为用户名来源，部分场景下用户邮箱可能存在重复，无法满足唯一标识的需求

内容的提问来源于stack exchange，提问作者asmuelle