16.4. 只读用户属性

存储在 Red Hat Single Sign-On 中的典型用户都有各种与用户配置文件相关的属性。这些属性包括电子邮件、firstName 或 lastname。但是，用户也可能具有属性，它们不是典型配置集数据，而是元数据。元数据属性通常是用户的只读，且典型的用户绝不应该有从 Red Hat Single Sign-On 用户界面或帐户 REST API 更新这些属性的方法。使用 Admin REST API 创建或更新用户时，管理员应当甚至是只读属性。

元数据属性通常是来自这些组的属性：

从长期角度来看，Red Hat Single Sign-On 将具有适当的用户配置集 SPI，这将允许对每个用户属性进行精细配置。目前，这个功能还没有完全可用。因此，Red Hat Single Sign-On 具有用户的内部用户属性列表，这些属性是只读的，适用于在服务器级别配置的管理员。

这是只读属性的列表，这些属性由 Red Hat Single Sign-On 默认供应商及功能在内部使用，因此始终是只读的：

系统管理员可以向此列表中添加其他属性。配置目前在服务器级别可用。您可以将此配置添加到 standalone （-*.xml 文件中到 Red Hat Single Sign-On server subsystem 的配置中：

<spi name="userProfile">
    <provider name="legacy-user-profile" enabled="true">
        <properties>
            <property name="read-only-attributes" value="[&quot;foo&quot;,&quot;bar*&quot;]"/>
            <property name="admin-read-only-attributes" value="[&quot;foo&quot;]"/>
        </properties>
    </provider>
</spi>

可使用 JBoss CLI 命令配置相同的方法：

/subsystem=keycloak-server/spi=userProfile/:add
/subsystem=keycloak-server/spi=userProfile/provider=legacy-user-profile/:add(properties={},enabled=true)
/subsystem=keycloak-server/spi=userProfile/provider=legacy-user-profile/:map-put(name=properties,key=read-only-attributes,value=[foo,bar*])
/subsystem=keycloak-server/spi=userProfile/provider=legacy-user-profile/:map-put(name=properties,key=admin-read-only-attributes,value=[foo])

在本例中，用户和管理员无法更新属性 foo。用户无法从 栏 编辑任何属性。因此，如 bar 或 barrier。配置不区分大小写，因此将拒绝 FOO 或 BarRier 等属性。通配符 * 仅在属性名称的末尾被支持，因此管理员可以有效地拒绝以指定字符开头的所有属性。属性中间的 * 被视为常规字符。