12.7. 客户端策略

条件决定策略被采用的客户端以及何时采用。当在客户端请求过程中检查一些其他条件(OIDC Authorization request, Token endpoint request 等)，在客户端创建/更新时检查一些条件。该条件检查是否满足一个指定的条件。例如，一些条件检查客户端的访问类型是机密。

该条件不能自行使用。它可用于之后描述 的策略。

条件可以与其他可配置提供程序相同。可以配置的内容取决于每个条件的性质。

提供以下条件：

例如，在创建客户端时，当没有初始访问令牌（非动态客户端注册）的情况下，可将条件配置为由 OIDC Dynamic Client Registration 创建为 true。因此，这个条件可用于确保通过 OIDC 动态客户端注册的所有客户端都兼容 FAPI 或 OAuth 2.1。

executor 指定在采用策略的客户端上执行哪些操作。executor 执行一个或多个指定操作。例如，一些 executor 会检查授权请求中的参数 redirect_uri 的值是否与授权端点上预注册的重定向 URI 完全匹配，并在未授权端点上拒绝此请求。

executor 本身不能单独使用。它可用于之后描述 的配置集。

executor 可以与其他可配置供应商相同。可以配置的内容取决于每个 executor 的性质。

executor 会对各种事件执行操作。executor 的实现可以忽略某些类型的事件（例如，检查 OIDC 请求 对象的 executor 仅适用于 OIDC 授权请求）。事件是：

在每个事件中，executor 都可以在多个阶段工作。例如，在创建/更新客户端时，executor 可以通过自动配置特定的客户端设置来修改客户端配置。之后，executor 会在验证阶段验证此配置。

此 executor 的几个目的之一是实现客户端一致性配置集的安全要求，如 FAPI 和 OAuth 2.1。要做到这一点，需要以下 executors：

配置集由多个 executors 组成，它可以实现一个安全配置集，如 FAPI 和 OAuth 2.1。配置集可以通过 Admin REST API (Admin Console)与其 executors 一起配置。有三个 全局配置集，它们默认在 Keycloak 的红帽构建中配置，并带有预配置的 executors，与 FAPI 1 Baseline, FAPI 1 Advanced, FAPI CIBA, FAPI 2 和 OAuth 2.1 规格兼容。更多相关信息，请参阅 Securing Applications and Services Guide 中的 FAPI 和 OAuth 2.1 部分。

策略由多个条件和配置集组成。该策略可用于满足此策略的所有条件的客户端。该策略指的是多个配置集，这些配置集的所有 executors 会根据这个策略的客户端执行其任务。