Keycloak 22令牌请求耗时差异大的原因及优化方法咨询

可能的原因 #

• 数据库性能瓶颈：数据库慢查询、连接池不足，或会话/用户表数据量过大且缺乏有效索引，导致部分请求等待数据库响应时间过长。比如查询session_entity表时无索引，大量过期会话未清理引发全表扫描。
• 缓存配置不合理：Infinispan缓存未正确配置，高频访问数据（如用户信息、客户端配置）未命中缓存，需重复查询数据库；集群环境下缓存同步延迟，部分节点无法快速获取最新数据。
• 认证流程复杂度差异：不同请求对应的认证逻辑复杂度不同——比如带MFA、自定义认证器、第三方IDP跳转的请求流程更长，而简单密码认证或刷新令牌请求流程简洁，速度差异明显。
• 线程池与资源不足：Undertow工作线程池配置过小，并发请求过多时部分请求排队等待；Keycloak实例CPU、内存资源不足，无法及时处理请求。
• 第三方依赖延迟：令牌请求中调用的外部服务（如自定义用户存储、授权服务）响应缓慢，拖慢整个请求流程；部分请求恰好遇到外部服务超时或卡顿。
• 集群同步问题：集群部署时节点间会话、权限数据同步延迟，部分请求落在未完成同步的节点上，需等待数据同步完成才能处理。

缩短耗时的优化方法 #

数据库层面 #

• 排查慢查询日志，给user_entity、session_entity、client_scope等高频查询表添加合适索引；定期清理过期会话、授权码数据，减少表数据量。
• 调整数据库连接池参数：通过db-pool-min-size、db-pool-max-size配置合理的连接数范围，避免连接不足导致等待。

缓存层面 #

• 优化Infinispan缓存配置：增大本地缓存容量，设置合理的过期时间，确保用户信息、客户端配置等高频数据优先命中缓存；集群环境下选择合适的缓存复制模式，减少同步延迟。
• 启用缓存命中率监控，针对命中率低的缓存项调整策略，提升缓存利用率。

认证流程层面 #

• 简化非必要的认证环节：对无需强安全校验的场景关闭MFA，减少自定义认证器的使用；优化刷新令牌流程，避免重复执行全量认证步骤。
• 优先使用客户端凭据流、密码流等简洁流程，避免不必要的身份验证跳转。

资源与线程配置层面 #

• 调整Undertow工作线程数：通过jboss.threads.max.threads参数增加线程数量，避免并发请求排队；根据实例资源情况合理分配CPU、内存，提升处理能力。
• 若并发量高，考虑横向扩容Keycloak实例，通过负载均衡器均匀分发请求。

第三方依赖优化 #

• 给外部服务调用添加超时限制，避免长时间等待；对外部服务返回的静态数据进行本地缓存，减少重复调用。
• 排查外部服务性能瓶颈，优化其响应速度，或更换更稳定的服务依赖。

监控与排查 #

• 开启Keycloak DEBUG日志，跟踪慢请求的执行链路，定位具体耗时环节（如数据库查询、缓存获取、外部调用）。
• 使用监控工具跟踪性能指标：监控数据库连接数、缓存命中率、请求响应时间分布，精准定位瓶颈点。

内容的提问来源于stack exchange，提问作者Piyush D