如何识别通过同一Keycloak服务账号认证的多个客户端

针对共享Keycloak客户端下无法区分不同业务客户端的问题，逐个分析你的方案并给出最优建议：

方案1：为每个客户端创建独立用户 #

不可行。Keycloak的服务账号与客户端绑定，默认生成service-account-<client-id>格式的账号，单独创建普通用户无法适配客户端凭证模式的认证流程，反而会带来大量用户账号的管理负担，不符合服务账号的设计逻辑。

方案2：为令牌添加客户端级自定义声明 #

这是最优方案，且完全支持客户端级别配置，无需依赖用户身份。具体实现方式有两种：

• 客户端属性+映射器：在共享Keycloak客户端的「Attributes」中为每个业务客户端配置唯一标识（比如给客户端A加app-id: client-A，客户端B加app-id: client-B），然后在客户端的「Mappers」标签添加「User Attribute Mapper」或「Script Mapper」，将该属性注入到JWT令牌的自定义字段中（比如app_id）。
• 客户端范围复用：创建一个通用的客户端范围，添加固定或动态的映射器，将客户端的唯一标识（或自定义属性）写入令牌，再将该范围绑定到共享客户端上，所有业务客户端认证时都会携带这个声明。

API服务器只需解析JWT令牌中的自定义声明，即可准确识别业务客户端身份，完全符合Keycloak的认证流程，且维护成本低。

方案3：创建独立Keycloak客户端 #

正如你判断的，数百个客户端会导致Keycloak控制台管理混乱，重复配置相同的权限、范围会带来极高的维护成本，属于典型的不良实践，直接排除。

方案4：共享密钥标识 #

此方案会拆分认证逻辑，放弃Keycloak统一的令牌校验、权限管控能力，违背了引入Keycloak的初衷，额外增加密钥管理风险，不推荐。

内容的提问来源于stack exchange，提问作者Bart