AWS RDS PostgreSQL IAM认证连接频繁关闭需重认证问题排查

背景 #

我在使用带IAM认证的AWS RDS PostgreSQL，令牌每15分钟过期。根据AWS官方文档，连接建立后即使令牌过期也无需重新认证，但我这边即使启用了KeepAlive=30，每15分钟还是需要提供新密码。后来使用Npgsql库的UsePeriodicPasswordProvider选项，每10分钟生成新令牌，目前看起来能正常工作。

代码实现 #

public class ConnectionFactory: IConnectionFactory
{
   private readonly NpgsqlDataSource _npgSqlDatasource; // 注：原拼写NpgSqlDatasource应为NpgsqlDataSource

   public ConnectionFactory()
   {
      string connstr = $"server=awsrds;user=user;database=mydb;KeepAlive=30"; // 注：原拼写databse应为database
      var datasourceBuilder = new NpgsqlDataSourceBuilder(connstr) { ConnectionStringBuilder = { Password = null }}
         .UsePeriodicPasswordProvider((_,_) =>
            {
               string password = GeneratePostgresToken();
               return new ValueTask<string>(password);
            },
            TimeSpan.FromMinutes(10),
            TimeSpan.FromSeconds(10));
         
      _npgSqlDatasource = datasourceBuilder.Build();
   }

   public async Task<IDbConnection> GetConnectionAsync() // 注：原IDBConnection应为IDbConnection
   {
      return await _npgSqlDatasource.OpenConnectionAsync(); 
   }

   private string GeneratePostgresToken(){
      // 调用AWS RDS获取令牌的逻辑
   }
}

public class UserRepo(IConnectionFactory connectionFactory): IUserRepo
{
   public async Task<User> GetUser(){
      using IDbConnection connection = await connectionFactory.GetConnectionAsync();
      // 查询逻辑
      return await connection.QueryFirstOrDefaultAsync<User>();
   }
}

// DI配置
services.AddSingleton<IConnectionFactory, ConnectionFactory>();
services.AddTransient<IUserRepo, UserRepo>(); // 注：原AddTrasnsient应为AddTransient

问题 #

1. 我的代码中可能存在哪些导致物理连接关闭的问题？还是服务器端的问题？能否通过改进日志来排查该问题？
2. 使用UsePeriodicPasswordProvider时，是否会每10分钟创建新连接池并保留旧连接池（因令牌更新）？

解答 #

问题1：连接关闭的排查思路 #

代码层面可能的原因

• 拼写错误：代码里存在多处拼写错误（如databse、NpgSqlDatasource、AddTrasnsient），如果实际运行代码中也存在这些错误，会导致数据源初始化异常，连接池无法正常维护连接，出现频繁断开重建的情况。
• 连接使用模式：每次查询都通过using块获取新连接，用完释放回池，但如果连接池里的连接被标记为无效（比如网络波动、服务器断开），就会触发新连接创建，此时需要新令牌。
• KeepAlive配置局限：KeepAlive=30是客户端层面的心跳，但如果服务器端的超时配置更严格，客户端心跳无法阻止服务器主动断开空闲连接。

服务器端可能的原因

• RDS超时参数：检查PostgreSQL的idle_session_timeout、idle_in_transaction_session_timeout参数，如果设置为小于15分钟，会主动断开空闲连接；同时检查TCP层面的tcp_keepalives_idle、tcp_keepalives_interval是否与客户端配置匹配。
• 环境变更：比如安全组规则调整、IAM角色权限临时失效、RDS实例重启等，都可能导致现有连接被强制断开。

日志排查方案

• Npgsql客户端日志：在数据源构建时添加日志工厂，输出连接的生命周期细节：

  var datasourceBuilder = new NpgsqlDataSourceBuilder(connstr)
      .UseLoggerFactory(LoggerFactory.Create(builder => 
          builder.AddConsole().SetMinimumLevel(LogLevel.Debug)))
      // 其他配置...
  

  可以看到连接创建、释放、失效的具体原因（比如服务器断开、认证失败）。
• RDS服务器日志：在RDS控制台开启log_connections、log_disconnections、log_error_verbosity=verbose，查看连接断开的发起方和原因。
• 应用业务日志：在GeneratePostgresToken方法中添加日志，记录令牌生成时间；同时捕获连接获取时的异常，确认是否在令牌过期后出现连接失败，以此判断是否是连接断开导致的重新认证需求。

问题2：连接池的处理逻辑 #

不会每10分钟创建新连接池，UsePeriodicPasswordProvider的工作逻辑是：

• 令牌更新后，新创建的连接会使用新令牌；
• 连接池中已存在的旧连接（用旧令牌创建的）会继续正常使用，直到它们因超时、服务器断开或连接池回收而失效；
• 连接池本身不会重建，而是逐步用新连接替代失效的旧连接，不会出现多连接池共存的情况。

内容的提问来源于stack exchange，提问作者cdev