开源身份与访问管理

以最小的投入为应用程序添加身份验证并保护服务安全。无需再处理用户存储或用户身份验证。

Keycloak 提供用户联合、强身份验证、用户管理、细粒度授权等功能。

帮助与文档

• 文档
• 用户邮件列表 - 用于获取 Keycloak 相关帮助和一般问题的邮件列表
• 加入 #keycloak 讨论一般问题，或加入 Slack 上的 #keycloak-dev 参与设计与开发讨论，请先在 https://slack.cncf.io/ 创建账户。

报告安全漏洞

如果您发现了安全漏洞，请查看如何正确报告漏洞的说明。

报告问题

如果您认为在 Keycloak 中发现了缺陷，请提交 issue。 请记得提供良好的摘要、描述以及复现问题的步骤。

快速开始

要运行 Keycloak，请从我们的网站下载发行版。解压并运行：

bin/kc.[sh|bat] start-dev

或者，您也可以使用 Docker 镜像运行：

docker run quay.io/keycloak/keycloak start-dev

更多详情请参阅 Keycloak 文档。

从源码构建

要从源码构建，请参阅构建和使用代码库指南。

测试

要运行测试，请参阅运行测试指南。

编写测试

要编写测试，请参阅编写测试指南。

贡献

在向 Keycloak 贡献之前，请阅读我们的贡献指南。参与 Keycloak 项目受 CNCF 行为准则约束。

参加社区会议是参与其中并帮助塑造 Keycloak 未来的绝佳方式。

行为准则

我们致力于为所有 Keycloak 贡献者和用户提供安全、友好且富有建设性的环境。 为保护这一空间，我们积极执行我们的行为准则。 如果您希望报告事件或对管理决定提出申诉，请发送电子邮件至 [email protected]。

其他 Keycloak 项目

• Keycloak - Keycloak 服务器与 Java 适配器
• Keycloak Client - Keycloak 客户端库
• Keycloak QuickStarts - Keycloak 快速入门指南
• Keycloak Node.js Connect - Keycloak 的 Node.js 适配器

许可证

• Apache License, Version 2.0

Keycloak CVE-2026-18963 Docker 实验环境

本实验在 localhost 上启动存在漏洞的 Keycloak 版本 26.7.1，并初始化一个最小化的 realm 以复现该 CVE 流程。

调查文档

• 工作流分析：源码级根本原因、受影响的请求序列、补丁对比以及修复方案。
• 证据与测试矩阵：漏洞版本与修复版本的验收标准。

启动

docker compose up -d keycloak-vuln
docker compose up --abort-on-container-exit keycloak-lab-init

Keycloak 将暴露在：

• http://127.0.0.1:18080
• 管理控制台：admin / admin

预置的实验对象：

• realm：lab
• client：poc
• 重定向 URI：http://localhost/cb
• 用户：victim
• 密码：OldPassw0rd!

停止

docker compose down

说明

• 此 compose 文件有意仅运行存在漏洞的版本。
• 该 init 容器对于重复的本地测试具有足够的幂等性；它会跳过已存在的 realm/client/user，并重置受害者的密码。
• 由于 Docker 不可用，当前审查环境未执行运行时复现。在证据矩阵于隔离实验环境中运行之前，请勿将静态源代码分析视为实际的接管结果。