Я уже давно рассматриваю Keycloak для своего маленького сервиса. Но все руки не доходили до просмотра более подробно что да как с ним там обстоят дела.

Для тех кто в танке, это REST приложение, которое разворачивается на сервере как СЕРВИС для авторизации, регистрации и аутентификации пользователей для чего угодно.

Но мало того, что сервис очень большой, я почитал недавние исправления ошибок и серьезных CVE что касается обхода авторизаций для изменений паролей и всякого такого прочего, например CVE-2026-18963 - БУКВАЛЬНО НОВАЯ УЯЗВИМОСТЬ, которая ну как бы немного даже глупая если честно.

Я решил все таки отказаться от этого монстра от которого можно ожидать что угодно.
Все таки я сервис буду выкатывать во внешний мир для того, что бы у моих пользователей была возможность управлять своими ресурсами и в случае чего восстановить доступ. Да и мне самому нужно это.

Я сочту правильным сделать свое решение. Кто бы что мне не говорил что то в духе "Не изобретай свою криптографию".
Все таки с крипто-примитивами я умею работать, а остальное это просто внимательность к деталям.