Web应用程序的PIN码验证

Question

我正在开发具有移动视图的angular6 Web应用程序。 为了进行身份验证，我正在使用keycloak服务器。它为我提供了带有访问和刷新令牌的Oauth2。

要获取令牌，用户必须使用登录名/密码登录。 每次令牌过期时，用户都无法在手机中输入密码。

如果可以通过输入个人识别码恢复在应用程序中的工作，那将很酷。我认为个人识别码可以由用户在首次登录后设置，也可以由服务器生成并通过电子邮件发送给用户。

如何为Web应用程序配置密码验证？ 是否可以使用密钥斗篷配置密码验证？ 还是可以使用其他身份验证服务器？ 不用在FE或BE上的某个地方存储密码就可以做到吗？

Answer 1

您需要开发一个custom Authentication SPI（服务提供商界面）。

Keycloak在GitHub中有example code，它演示了如何支持一个秘密问题，例如，与PIN码秘密所需的条件相距不远。