Keycloak 蛮力检测-钥匙斗篷

我们开始在新的项目设计中使用KeyClope作为身份和访问管理，并为我新创建的领域启用暴力检测

它正在工作，但在我的用例中，我必须通知我的用户，他们必须再等待30分钟才能再次尝试登录，因为他们已达到最大登录失败。但在达到最大失败后，每当我尝试使用错误/正确的密码时，我都会收到“invalid_grant”作为错误消息

{ “错误”：“无效的授权”， “错误描述”：“无效的用户凭据” }

---

如何更改响应消息以通知用户？

您需要使用自定义的直接授权验证器实现。从这里开始：

但在深入定制之前，我建议您彻底分析您的需求。使用“帐户已锁定”进行响应，至少会提供我已成功猜出用户名的信息，现在我可以继续攻击指定的帐户。从我的观点来看，异步通知（例如通过电子邮件或短信）用户其帐户可能受到BF攻击是更好的方式