Keycloak实现手机验证码登录

最新推荐文章于 2024-05-14 15:58:08 发布
最新推荐文章于 2024-05-14 15:58:08 发布
阅读量4.9k 收藏 10
点赞数 4
分类专栏： WebServer 文章标签： java keycloak
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/austindev/article/details/119026515
版权

背景说明

使用Keycloak作为账号体系的项目中，经常会被问到Keycloak如何实现手机验证码登录，Keycloak有没有内置的基于短信的登录实现SMS-based two-/multi-factor-authentication (2FA/MFA) ;

Keycloak目前只内置一种基于 Google Authenticator 的 2FA 选项。

这篇主要讨论实现上述的需求的几种方案，以及相应的优缺点：

  • 定制 Authentication SPI，实现Keycloak统一的浏览器手机验证码登录；

  • 定制 Authentication SPI，实现基于 Resource Owner Password Credentials (Direct Access Grants)的手机验证码登录；

  • 使用 token-exchange

  • 使用 Identity Providers 实现手机验证码登录

定制 Authentication SPI，实现Keycloak统一的浏览器手机验证码登录

原理及实现

这种方式主要的工作原理是:

  1. 定制Keycloak登录主题，点击发送验证码有Keycloak服务进行验证码的发送，缓存和验证；

  2. 新增一个 keycloak-2fa-sms-authenticator 验证器，进行手机号和验证码的校验

具体实现代码可以参考：

在这里插入图片描述

对应的github地址

优缺点

优点是：

- 基于Keycloak标准扩展实现，安全风险可控

- 基于浏览器登录，各业务统一的登录逻辑

缺点是：

- 浏览器登录在某些端，比如APP，并不适合

- 短信发送集成到Keycloak，各个业务无法再支持自定义模板及信息定义；

基于 Resource Owner Password Credentials (Direct Access Grants)的手机验证码登录

Direct Access Grants概念

Resource Owner Password Credentials Grant (Direct Access Grants)

This is referred to in the Admin Console as Direct Access Grants. This is used by REST clients that want to obtain a token on behalf of a user. It is one HTTP POST request that contains the credentials of the user as well as the id of the client and the client’s secret (if it is a confidential client). The user’s credentials are sent within form parameters. The HTTP response contains identity, access, and refresh tokens.

相关的 RESTApi请求

curl --location --request POST 'http://localhost:8080/auth/realms/austintest/protocol/openid-connect/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'client_id=server-admin' \
--data-urlencode 'client_secret=ee0c1f08-775d-4195-b5ca-19eb9b923822' \
--data-urlencode 'username=admin1' \
--data-urlencode 'password=123456' \
--data-urlencode 'grant_type=password'

在后台的 Keycloak 的Flow中:
在这里插入图片描述

去掉Password 的Requirement 为 ALTERNATIVE即可

 curl --location --request POST 'http://localhost:8018/auth/realms/austin-local/protocol/openid-connect/token' --header 'Content-Type: application/x-www-form-urlencoded' --data-urlencode 'client_id=austin-app1' --data-urlencode 'client_secret=d622f435-4aad-48b7-bf18-e3cba0e4d76a' --data-urlencode 'username=admin1' --data-urlencode 'grant_type=password'

可以在client中单独设置Flow
在这里插入图片描述

优缺点

优点:

  • 验证码的发送和校验完全由业务方控制

  • 业务方可以很方便的进行拓展,不管是基于手机号验证码,还是邮箱验证码;

缺点:

  • 由于去掉了用户的密码校验，所以client获取用户令牌的安全级别下降，需要很小心的控制 client 是否开启 Direct Access Grants，以及client对应的scope；

  • 手机号对应的用户名，需要业务方自行保存，对应于手机号保存在业务方数据库的实现是方便，但是如果把手机号放在Keycloak的User的attribute中则还需要额外的定制修改。

实现手机号验证登录

定制ValidateUserAttributeAuthenticator

该校验器主要实现 Direct Access Grant 校验用户 的几种方式

  • 指定用户名校验用户

  • 指定用户邮箱校验用户

  • 根据全局设定的 属性名校验用户

  • 根据请求参数指定的属性名校验用户

  • 根据默认的属性名 phone 校验用户

可能出现的报错:

  • 未指定用户名,用户邮箱,以及属性值，会提示"Missing parameter: username"
String attributeValue = retrieveAttributeValue(context, attributeName);
if (username == null && attributeValue == null) {
    context.getEvent().error(Errors.USER_NOT_FOUND);
    Response challengeResponse = errorResponse(Response.Status.UNAUTHORIZED.getStatusCode(), "invalid_request", "Missing parameter: username");
    context.failure(AuthenticationFlowError.INVALID_USER, challengeResponse);
    return;
}

在这里插入图片描述

  • 指定的用户名或者邮箱,找到多个用户,提示: “Invalid user credentials”
UserModel user = null;
if (username != null) {
    try {
        user = KeycloakModelUtils.findUserByNameOrEmail(context.getSession(), context.getRealm(), username);
    } catch (ModelDuplicateException mde) {
        logger.error(mde);
        Response challengeResponse = errorResponse(Response.Status.UNAUTHORIZED.getStatusCode(), "invalid_request", "Invalid user credentials");
        context.failure(AuthenticationFlowError.INVALID_USER, challengeResponse);
        return;
    }
}
  • 提供的属性名对应的属性值找到多个用户,提示: “Invalid user credentials is not unique”
// find User By attribute
if (user == null) {
    List<UserModel> users = context.getSession().users()
            .searchForUserByUserAttributeStream(context.getRealm(), attributeName, attributeValue)
            .collect(Collectors.toList());
    if (users.size() > 1) {
        logger.error(new ModelDuplicateException("User with " + attributeName + "=" + attributeValue + " is not unique!"));
        Response challengeResponse = errorResponse(Response.Status.UNAUTHORIZED.getStatusCode(), "invalid_request", "Invalid user credentials is not unique");
        context.failure(AuthenticationFlowError.INVALID_USER, challengeResponse);
        return;
    }
    if (users.size() == 1) {
        user = users.get(0);
    }
}
  • 提供的信息,找不到对应的用户,提示: “Invalid user credentials”
if (user == null) {
    context.getEvent().error(Errors.USER_NOT_FOUND);
    Response challengeResponse = errorResponse(Response.Status.UNAUTHORIZED.getStatusCode(), "invalid_grant", "Invalid user credentials");
    context.failure(AuthenticationFlowError.INVALID_USER, challengeResponse);
    return;
}

完整的authenticate 函数如下

@Override
public void authenticate(AuthenticationFlowContext context) {
    String username = retrieveUsername(context);
    AuthenticatorConfigModel config = context.getAuthenticatorConfig();
    String attributeName = null;
    if (config.getConfig() != null) {
        attributeName = config.getConfig().get("attributeName");
    } else {
        attributeName = retrieveAttributeValue(context, "attributeName");
    }

    if (attributeName == null) {
        attributeName = "phone";
    }

    String attributeValue = retrieveAttributeValue(context, attributeName);
    if (username == null && attributeValue == null) {
        context.getEvent().error(Errors.USER_NOT_FOUND);
        Response challengeResponse = errorResponse(Response.Status.UNAUTHORIZED.getStatusCode(), "invalid_request", "Missing parameter: username");
        context.failure(AuthenticationFlowError.INVALID_USER, challengeResponse);
        return;
    }

    UserModel user = null;
    if (username != null) {
        try {
            user = KeycloakModelUtils.findUserByNameOrEmail(context.getSession(), context.getRealm(), username);
        } catch (ModelDuplicateException mde) {
            logger.error(mde);
            Response challengeResponse = errorResponse(Response.Status.UNAUTHORIZED.getStatusCode(), "invalid_request", "Invalid user credentials");
            context.failure(AuthenticationFlowError.INVALID_USER, challengeResponse);
            return;
        }
    }

    // find User By attribute
    if (user == null) {
        List<UserModel> users = context.getSession().users()
                .searchForUserByUserAttributeStream(context.getRealm(), attributeName, attributeValue)
                .collect(Collectors.toList());
        if (users.size() > 1) {
            logger.error(new ModelDuplicateException("User with " + attributeName + "=" + attributeValue + " is not unique!"));
            Response challengeResponse = errorResponse(Response.Status.UNAUTHORIZED.getStatusCode(), "invalid_request", "Invalid user credentials is not unique");
            context.failure(AuthenticationFlowError.INVALID_USER, challengeResponse);
            return;
        }
        if (users.size() == 1) {
            user = users.get(0);
        }
    }

    if (user == null) {
        context.getEvent().error(Errors.USER_NOT_FOUND);
        Response challengeResponse = errorResponse(Response.Status.UNAUTHORIZED.getStatusCode(), "invalid_grant", "Invalid user credentials");
        context.failure(AuthenticationFlowError.INVALID_USER, challengeResponse);
        return;
    }

    context.getEvent().detail(Details.USERNAME, user.getUsername());
    context.getAuthenticationSession().setAuthNote(AbstractUsernameFormAuthenticator.ATTEMPTED_USERNAME, user.getUsername());

    context.setUser(user);
    context.success();
enticator.ATTEMPTED_USERNAME, user.getUsername());

    context.setUser(user);
    context.success();
}

指定属性值名称的逻辑

在这里插入图片描述

  1. 配置中的属性名称优先级最高，考虑的原则是管理员设置的安全性最高；

  2. 请求参数中的 “attributeName” 的值；

  3. 默认的 “phone”；

打包部署Provider

  • META-INF.services 添加提供器信息

在这里插入图片描述

  • maven 编译
mvn clean install
  • 部署Jar包

把生成target下的jar包,拷贝到 $KC_HOME/standalone/deployments 目录下

keycloak启动时会自动解析加载该提供器

  • 确认安装成功

登录Keycloak 管理控制台,在右上角下拉菜单中,选择 Server Info

在这里插入图片描述

查看Providers, 搜索我们的提供器ID,查看是否存在

在这里插入图片描述

定制校验流程并绑定

  • 在Authentication的Flows中选择Direct Grant,并进行拷贝,命名为Direct Grant User Attribute

在这里插入图片描述

  • 删除原有的Username Validation
    在这里插入图片描述

  • 添加执行器,选择我们定制的
    在这里插入图片描述
    在这里插入图片描述

添加后点击左侧箭头,移动到最顶部
在这里插入图片描述

  • 配置属性名
    在这里插入图片描述
    在这里插入图片描述

  • 全局绑定
    在这里插入图片描述

  • 客户端作用域绑定

在这里插入图片描述

测试验证

创建好两个测试用户，对应的属性值如下

  • admin1
    在这里插入图片描述
    在这里插入图片描述

其中 两个 mobile的属性值一样;

phone 正确
在这里插入图片描述

phone 找不到

在这里插入图片描述

修改配置,指定属性名为openid

在这里插入图片描述

删除配置,就可以通过 attributeName 指定业务自己的属性名

小结

到这里基本上就实现了手机验证码登录的需求，这里的发送验证码，校验验证由各个可信业务方进行处理。

我们根据客户端的是否开启direct Grant，客户端scope，以及客户端绑定校验流程，严格控制相关权限的发放。

austindev
关注
  • 4
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 4
    评论
专栏目录
keycloak-phone-provider:一个Keycloak提供者，可以通过电话和短信
05-23
Keycloak电话提供商 电话支持，如电子邮件 通过电话进行OTP 用手机注册 电话认证 短信语音电话一键登录 使用此提供程序，您可以基于发送到用户手机的验证令牌来实施身份验证策略。 当前，有Twilio和TotalVoice以及YunTongXun SMS发件人服务的实现。 也就是说，很高兴地注意到，由于采用了模块化，可以轻松使用更多服务，实际上，没有什么可以阻止您实现TTS呼叫或WhatsApp消息的发送者。 这是您现在可以做的： 检查电话号码的所有权（表单和HTTP API） 在2FA方法（浏览器流程）中将SMS用作第二要素 通过电话重置密码（测试中） 通过电话认证（HTTP API） 通过电话对所有人进行身份验证，并在Grant（HTTP API）上自动创建用户 用手机注册 仅注册电话（用户名是电话号码） 使用redirect_uri参数注册添加用户属性 此提供程序
Spring Boot/Angular整合Keycloak实现单点登录功能
08-25
Spring Boot和Angular应用程序之间的单点登录（SSO）功能可以通过集成Keycloak实现。Keycloak是一个开源的身份和访问管理解决方案，支持多种身份验证协议，如OpenID Connect、OAuth 2.0和SAML 2.0。它提供了用户注册...
最详细的Keycloak教程（建议收藏）：Keycloak实现手机号、验证码登陆——（三）基于springboot&keycloak+vue的前后端分离项目
mltaozi的博客
03-13 3382
本文将介绍如何使用Spring Boot、Keycloak和Vue构建一个具有前后端分离架构的Web应用程序。通过将前端与后端完全独立开发和部署，我们可以实现更高效的团队协作和灵活的技术选型。Spring Boot提供了一个稳定可靠的后台框架，Keycloak提供了身份验证和授权的解决方案，而Vue作为一种灵活易用的前端框架，使我们能够快速开发出优秀的用户界面。这样就实现了一个通过keycloak鉴权的简单前后端分离项目，当springboot版本太高（3.0）的话，也可以集成。
什么是Keycloak？怎么样使用Keycloak实现登录和权限验证？
m0_63144319的博客
05-14 1309
在下面的配置文件中需要主要需要配置的是realm（你创建的realm的名称），resource（Clients 的id名称）， credentials secret（你的Clients的密钥），其他都是固定的，可以照搬我下面的配置文件。根据网上博主的分享和官方的文档，上述操作是可以实现的，但是在我创建之后发现报错，只能访问公共页面，登录之后admin连user.html都不能访问，报错就是权限的问题。来访问admin页面，并验证权限，现在是user角色登录，所以登录权限不够（报403错误，权限不足）
keycloak 自定义登录页面
热门推荐
hhj724的专栏
05-08 1万+
keycloak 自定义登录页面详细步骤如下： 因为keycloak是jboss开发的，使用FTL后缀开发前端文件，可能根据以下方式实现 keycloak将前端页面分为四类：按类设置主题。 •Account - Account management •Admin - Admin console •Email - Emails •Login - Login forms，包含注册。 ...
keyCloak自定义登陆页主题以及图形验证码（数字字母以及混合验证）
大气的土豆泥
03-29 4822
** keyCloak自定义登陆页主题以及图形验证码（数字字母以及混合验证） ** 一，下载以及配置keycloak 1)，下载keycloak：https://www.keycloak.org/downloads.html ； 2)，下载完毕之后，打开文件，访问 bin 路径，点击 standalone.bat 打开； 3)，访问 http://localhost:8080/auth/ 即可进入keycloak配置后台。详情配置以及集成请看 https://www.cnblogs.com/moutudou
最详细的Keycloak教程（建议收藏）：Keycloak实现手机号、验证码登陆——（一）Keycloak的下载与使用
mltaozi的博客
11-22 9992
接触keycloak已经半个多月了，主要是为了用来集成现已有的项目，也是弄得头大，代码不负脱发人，也是有点小成果了，在这里把自己的这点小小经验分享给大家！
js-验证码插件gVerify.js
ddr66288的博客
09-13 384
这几天在做登录时需要输入验证码，可后端那边由于受限制，导致只能返回给前端验证码的文字，下面就把源码附上： 插件gVerify.js !(function(window, document) { function GVerify(options) { //创建一个图形验证码对象，接收options对象为参数 this.options = { //默认...
[Keycloak] - 基于短信的OTP（One-time Password）登录
06-22 1536
Keycloak支持OTP登录，请查看文章[Keycloak] - OTP（One-time Password）登录。这篇文章介绍当用户输入用户名和密码登录，系统会给该用户发送含验证码的短信，用户输入这个验证码及可登录。在配置之前，需要满足如下条件：既然是发送邮件，用户必须定义手机号。使用超级用户登录keyclaok，并切换到dubhe realm, 进入Users -> 选择一个用户 -> 添加手机号，然后点击保存即可。如图： 进入Authentication -> Flows 点击‘New’...
最详细的Keycloak教程（建议收藏）：Keycloak实现手机号、验证码登陆——（二）Keycloak与SpringBoot的集成
mltaozi的博客
10-19 5143
总结一下本章的内容，最重要的还是是yml文件权限的配置，这将直接影响到你的接口校验是否生效。其次就是客户端访问类型的设置和用户权限的问题。访问类型为public是不需要秘钥的。但是当我们选择其他两种访问类型，就需要配置秘钥了！到这里就结束了本章的内容，若有不对之处还请各位大佬指正。有什么问题也可以评论区留言。
keycloak实现手机验证码登录（兼容账号密码登录）
u014725739的博客
09-15 1035
keycloak、认证框架、手机验证码登录
keycloak-2fa-sms-authenticator:Keycloak身份验证提供程序实现，用于通过通过SMS（通过AWS SNS）发送的OTPcodetoken获得第二因素身份验证。 仅用于演示！
05-18
Keycloak 2FA SMS身份验证器 Keycloak身份验证提供程序实现，以通过通过SMS（通过AWS SNS）发送的OTP /代码/令牌获得第二因素身份验证。 仅用于演示！ 不幸的是，我还没有真正的自述文件。 责怪我！ 但是，就目前而言，您至少可以在这里阅读我的博客文章有关该增效剂的信息： 或者，只需观看有关此2FA SMS SPI的视频：
keycloak-directgrantmfa:演示项目，展示直接授予身份验证的定制
04-14
Keycloak Direct Grant Mfa演示 一个简单的示例，展示了如何通过添加定制的MFA可能性来定制直接授权流程
使用keycloak配置单点登录
06-07
使用开源keycloak配置单点登录，对接zabbix、jumpserver等平台
Java实现基于KeyCloak的单点登录权限管理POC验证源码.zip
最新发布
07-02
Java实现基于KeyCloak的单点登录权限管理POC验证源码.zipJava实现基于KeyCloak的单点登录权限管理POC验证源码.zipJava实现基于KeyCloak的单点登录权限管理POC验证源码.zipJava实现基于KeyCloak的单点登录权限管理POC...
keycloak-10.0.1.zip
05-12
Keycloak是一款开源的身份管理和访问控制服务，它支持单点登录（Single Sign-On, SSO）功能，为企业级应用提供安全的认证与授权。这个压缩包"keycloak-10.0.1.zip"包含了Keycloak服务的10.0.1版本，用于部署和运行...
keycloak压缩包
06-22
3. 单点登录（SSO）：Keycloak可以为多个应用提供统一的登录体验，用户只需一次登录即可访问所有受保护的应用。 4. 客户端适配器：Keycloak提供了多种客户端适配器，便于集成到Java EE、Spring Boot、Node.js等不同...
Keycloak怎么接入短信登录
Crecendow
09-25 464
keycloak计入短信登录
keycloak单点登录（浙政钉2.0扫码、手机号验证码登录）
chenacxz的博客
02-19 7393
写在前面：本篇博客只针对前端代码实现，keycloak配置什么的，自己和后端或者运维联调吧。说实在的，因为不熟悉keycloak代码的逻辑，再加上时间紧，所以搞了一些很多骚操作。 登录这些前端代码是写在keycloak项目里的，文件是.ftl，还好政府项目没有对UI有什么很高的要求。扫码登录和手机号验证码，成功之后是跳转到Vue项目里的。 @TOC 浙政钉扫码登录 扫码登录： 专有钉钉扫码登陆流程 我这里采用的时第二种实现方式，嵌入iframe,但是这样有个弊端，开发时由于跨域，无法改二维码的样式。
keycloak 小程序微信登录
11-16
Keycloak是一个开源的身份和访问管理解决方案，它为应用程序和服务提供了安全的用户身份验证和授权功能。它支持多种身份提供者和协议，包括微信登录。 要使用Keycloak实现小程序的微信登录，首先需要在Keycloak中配置微信作为一个身份提供者。这需要获取微信开放平台的App ID和App Secret，将它们添加到Keycloak的身份提供者配置中。 一旦配置完成，开发人员可以在小程序中实现微信登录功能。首先，用户需要点击登录按钮来触发微信登录请求。在后台，开发人员需要将登录请求发送到Keycloak服务器，并将微信的App ID和App Secret作为参数一起发送。 Keycloak服务器会验证这些参数，并将微信的授权登录页面返回给小程序。用户将在微信授权登录页面上进行身份验证，并授权小程序访问其个人信息。 验证成功后，Keycloak服务器将通知小程序，并返回一个授权码。小程序将授权码发送回Keycloak服务器，以获取访问令牌和刷新令牌。 一旦小程序获得访问令牌和刷新令牌，它可以将其存储在本地，并将其用于后续的API调用和身份验证。这样，用户可以使用微信账号登录小程序，并访问其个人信息和其他受保护的资源。 总而言之，使用Keycloak实现小程序的微信登录需要在Keycloak中配置微信作为一个身份提供者，并在小程序中实现与Keycloak的交互，以获取访问令牌和刷新令牌。这样，用户可以使用微信账号登录小程序，并进行身份验证和访问受保护的资源。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值