Keycloak多Realm间SSO问题：特定用户AccessToken返回异常求助

针对你遇到的这个问题——仅存在于Realm1的user2，跨Realm认证时能从两个Realm拿到AccessToken，但单独在Realm2用user2登录却返回null——核心原因大概率是Realm2与Realm1的身份提供者（Identity Provider）配置存在自动创建用户的规则，下面我来拆解具体原因和解决步骤：

可能的原因分析 #

• 自动导入用户配置开启：当Realm2把Realm1配置为身份提供者时，如果开启了Import Users选项，Keycloak会自动在Realm2中创建所有来自Realm1认证的用户（包括user2）。此时跨域登录时，Realm2会用这个自动创建的用户生成AccessToken；但这个自动创建的用户默认没有设置密码，所以单独在Realm2登录时，因为没有有效凭证，返回null。
• 用户同步规则过于宽松：如果Realm2的身份提供者同步模式（Sync Mode）设置为Force或Legacy，会强制同步Realm1的用户到Realm2，即使Realm2原本没有该用户，导致跨域时能生成Token，但本地登录无凭证。

具体解决步骤 #

1. 检查并调整身份提供者配置 #

进入Realm2的管理控制台，依次点击Identity Providers → 找到对应Realm1的身份提供者配置：

• 关闭Import Users选项：这会阻止Realm2自动创建来自Realm1的用户，只有Realm2中已存在的用户才能通过Realm1的认证登录。
• 调整Sync Mode为Off：如果不需要同步用户，直接关闭同步；如果需要同步，确保设置为Conditional（仅同步Realm2已存在的用户）。

2. 清理自动创建的无效用户 #

如果之前已经有自动创建的user2在Realm2中：

• 进入Realm2的Users列表，找到user2，确认其来源为身份提供者（通常会标注Federated）。
• 如果不需要该用户，直接删除；如果需要保留，手动设置密码并激活用户，这样单独登录Realm2时就能正常获取AccessToken。

3. 验证权限与会话配置 #

• 检查Realm2的Client Scopes和Roles配置，确保没有给所有来自Realm1的用户默认授予访问权限，避免未授权用户获取Token。
• 查看Keycloak的会话设置，确认跨域会话的Cookie仅在合法场景下生效，避免会话复用导致的异常。

调试建议 #

• 开启Keycloak的调试日志（在Realm Settings → Logging中设置日志级别为DEBUG），查看跨域认证时的日志输出，确认Realm2是否有创建用户的操作记录。
• 用user2完成跨域登录后，立即查看Realm2的用户列表，确认是否存在自动创建的user2，这能快速验证是否是自动导入的问题。

内容的提问来源于stack exchange，提问作者Programmer