oauth - 在 Keycloak SPI/Provider 中获取当前用户的访问 token (在初始登录时)

Question

当用户刚刚登录时，如何在 Keycloak 服务提供者界面中访问当前经过身份验证的用户访问 token ？

现在的情况:
当用户使用用户名和密码执行登录时，我正在自定义用户联合/存储提供程序中使用 Apache HttpClient 进行手动密码授予。

然后，用户访问 token 用于使用其身份验证上下文调用内部 API。出于审计/GDPR 目的，需要使用用户不记名 token 进行此 API 调用，因为用户在登录时给予了多次同意。

我假设没有办法在用户存储提供程序中获取当前用户的身份验证上下文，因为在那个时间点用户尚未通过身份验证，对吗？
密码授予当时获取用户身份验证上下文/ token 的正确方法吗？另一种选择可能是链接 SPI，例如使用身份验证 SPI 并在那里拦截 token 。但您似乎无法覆盖现有的身份验证流程。
最后一个可能也是最好的选择是创建一个事件监听器提供程序。但是我可以访问那里的访问 token 吗？

我真的很感激一些意见，因为这整个努力感觉有点不对劲。

Answer 1

另一种选择(对我来说更有意义)是使用客户端 ID 作为服务进行身份验证(客户端身份验证)，以执行审计。这样，您甚至不需要在那时对用户进行身份验证。我认为这是一个更好的解决方案，因为，除了我所说的，审计实际上是一个与系统相关的琐事。如果您让任何用户进行审计，他们可以使用有效 token 编写一些代码以自行执行大规模/虚假审计。

将它留给具有具体角色的具体客户并在审计过程中请求该角色更有意义。