Keycloak 26.3.1集成X(Twitter)身份提供商时出现No identifier错误

核心原因 #

这个错误的本质是Keycloak无法从X返回的用户数据中识别出唯一身份标识字段，要么是映射配置错误，要么是没指定正确的标识字段，导致系统无法确认用户身份。

解决步骤 #

1. 修正身份标识映射配置 #

• 进入Keycloak后台，打开对应X身份提供商的配置页，切换到Mappers标签
• 确认存在将X返回的id_str（X用户唯一ID的字符串版本，避免数字溢出）映射到Keycloaksub（Subject）属性的规则，类型选User Attribute Importer
• 若之前映射的是id字段，改成id_str——X的v2 API默认返回字符串类型的用户ID，这是多数人踩坑的点

2. 手动指定用户ID字段 #

• 在X身份提供商的Settings标签页，找到User ID Attribute输入框，直接填入id_str
• 保存配置后，进入Realm Settings -> Cache -> Clear Cache清空Keycloak缓存，再测试登录

3. 核对X返回的字段结构 #

查看Keycloak日志里的用户数据片段，确认字段名：

日志示例关键内容：
Received user info: {"id_str":"123456789","username":"test_user","name":"Test User"}

• 如果日志里用户ID字段是id而非id_str，就把User ID Attribute改成id，但X的v2 API基本都是返回id_str

4. 检查首次登录流配置 #

• 进入Authentication -> Flows，找到First Broker Login流
• 确保Review Profile执行器处于启用状态，且配置允许用提供商返回的身份标识创建用户
• 暂时禁用强制修改密码之类的执行器，避免干扰身份映射流程

5. 重置身份提供商配置 #

如果以上步骤都无效，删除现有X身份提供商，重新创建：

• 直接选用Keycloak内置的Twitter模板（X的OAuth2配置和旧Twitter兼容）
• 填入X开发者平台获取的Client ID和Client Secret，保留默认映射规则
• 测试前清空浏览器缓存和Keycloak服务器缓存

关键提醒 #

• Keycloak 26.x对OAuth2身份标识的映射要求更严格，必须明确指定唯一标识字段
• 每次修改配置后一定要清空缓存，否则新配置不会生效

内容的提问来源于stack exchange，提问作者Ji Tiantian