在Keycloak SPI/Provider中获取当前用户的访问令牌（初始登录时）

Question

当用户刚刚登录时，我如何在Keycloak服务提供程序接口中获得对当前通过身份验证的用户访问令牌的访问权限？

我假设没有办法在用户存储提供程序中获得当前用户的身份验证上下文，因为在那个时间点上用户还没有身份验证，对吗？password grant是当时获取用户身份验证上下文/令牌的正确方法吗？另一种选择可能是链接SPI，例如使用身份验证SPI并截取那里的令牌。但您似乎无法覆盖现有的身份验证流。最后也可能是最好的选择是创建事件侦听器提供程序。但我可以访问那里的访问令牌吗？

我真的很感谢一些投入，因为这整个努力感觉有点离谱。

Answer 1

另一个选择（对我来说更有意义）是使用客户机id作为服务进行身份验证（客户机身份验证），以便执行审计。这样，您甚至不需要在那一点上对用户进行身份验证。我认为这是一个更好的解决方案，因为除了我所说的之外，审计实际上是一个与系统相关的苦差事。如果让任何用户进行审计，他们可以编写一些带有有效令牌的代码，由他们自己执行大规模/假审计。

把它留给一个具体的客户，一个具体的角色，并为审计过程请求该角色，更有意义。