【身份与访问控制工程】Keycloak 工程拆解：Realm、Client、Flow 与扩展机制

Keycloak 是一个开源的身份和访问管理解决方案，提供企业级 IAM 功能集，包括 OIDC、OAuth2 和 SAML。

Keycloak 的架构经历了从 WildFly 到 Quarkus 的转变，显著提高了启动速度和降低了内存占用。

Keycloak 的配置系统在 Quarkus 时代被重写，使用新的环境变量和命令行参数，旧的配置方式不再适用。

Keycloak 的进程内组件分层包括 HTTP 层、认证流程引擎、SPI 注册、模型层和存储层，SPI 层是主要的扩展点。

Keycloak 使用 Infinispan 作为分布式缓存，管理用户会话和其他缓存数据，必须注意 sticky session 的配置。

Keycloak 的数据库 schema 由 JPA 和 Liquibase 管理，推荐使用 PostgreSQL，需关注关键表的设计。

Keycloak 内置 master realm 用于管理其他 realm，建议每个租户或产品使用独立的 realm。

Keycloak 支持与 LDAP 和 Active Directory 的集成，需合理配置连接超时和读取超时。

Keycloak 的 Client Scope 机制允许将一组协议映射和角色打包成可复用单元，简化配置。

Keycloak 的认证流程引擎支持自定义 authenticator 和 protocol mapper，适应不同的业务需求。

在高可用和多站点部署中，Keycloak 使用 JGroups 进行集群发现，跨 DC 部署需引入 Infinispan Server。

Keycloak 的工程复杂性体现在 Quarkus 运行时、Infinispan 缓存拓扑和认证流程引擎的扩展模型上。

Keycloak 适合企业内部 SSO 和产品附带的身份管理，但不适合高流量的 CIAM 场景。