Keycloak调用Token API传错凭证致服务崩溃，JDBC连接超时求助

问题场景 #

在基于Kubernetes和Docker部署的UAT环境中，调用Token API（{{base_path}}/realms/{{realm_name}}/protocol/openid-connect/token）并传入错误的Client ID或Client Secret后，整个Keycloak应用停止工作，日志抛出Unable to acquire JDBC Connection [Sorry, acquisition timeout!]异常。但本地及开发环境中该场景可正常返回预期响应：

{"error": "invalid_client", "error_description": "Invalid client or Invalid client credentials"}

已确认开发与UAT环境配置完全一致。

可能的触发原因及排查点 #

• 数据库连接池配置不足：UAT环境并发请求量通常高于开发环境，当传入错误凭证时，Keycloak会频繁发起数据库查询验证客户端信息，若连接池最大连接数设置过小或获取超时时间过短，会直接导致连接耗尽。检查Keycloak的quarkus.datasource.jdbc.max-size、quarkus.datasource.jdbc.acquisition-timeout等配置，确认UAT环境是否沿用了过小的默认值。
• Kubernetes资源限制瓶颈：若UAT环境的Keycloak Pod设置了过低的CPU/内存限制，当错误请求引发数据库查询风暴时，Pod资源不足会导致无法处理新的连接请求，间接触发JDBC连接超时。对比开发与UAT的Deployment资源配置（resources.requests和resources.limits），排查是否存在资源配额不足的情况。
• 数据库侧限流或超时设置：UAT环境的数据库可能开启了连接限流，或设置了过短的查询超时时间。当大量错误请求触发的数据库查询超过阈值时，数据库会拒绝新连接，导致Keycloak获取连接超时。检查数据库的最大连接数、查询超时等参数，确认是否与开发环境一致。
• Keycloak镜像/版本差异：即使配置文件一致，UAT环境使用的Docker镜像可能与开发环境存在版本差异，或镜像内部默认配置不同。部分Keycloak版本在处理无效客户端凭证时存在连接泄漏的潜在bug，需确认镜像标签是否完全匹配。
• 客户端缓存未生效：开发环境可能启用了客户端信息缓存（如Infinispan），减少了数据库查询次数；而UAT环境的缓存配置未正确生效，导致每次错误请求都直接查询数据库，快速耗尽连接池。检查quarkus.infinispan.client.*或Keycloak缓存相关配置，确认客户端缓存是否正常运行。

内容的提问来源于stack exchange，提问作者Prifulnath