WildFly无法适配数据库密码轮转？自定义凭证存储与重认证插件问题咨询

针对你遇到的自定义CredentialStoreSpi在密码轮转后无法自动更新数据源连接密码的问题，结合你找到的IronJacamar代码细节，我来梳理可行的解决方案和相关配置说明：

一、核心问题根源 #

WildFly默认的数据源连接池逻辑中，只会在启动初始化数据源时调用CredentialStoreSpi.retrieve()获取密码，并将凭证缓存到ConnectionRequestInfo中。后续从连接池获取新连接时，会直接复用这份缓存的凭证，不会再次调用retrieve()，这就导致密码轮转后新连接因使用旧密码而失败。

二、Reauth Plugin Class Name的作用与解决方案 #

你注意到的reauth-plugin-class-name正是官方为这类动态凭证场景提供的扩展点，完全可以解决你的问题：

1. 什么是Reauth Plugin？ #

这是IronJacamar（WildFly默认的JDBC连接池实现）提供的重认证扩展接口，对应的接口是org.jboss.jca.adapters.jdbc.ReauthPlugin。它的核心作用是：每次从连接池获取连接时，触发自定义的凭证刷新逻辑，替代默认的缓存凭证复用行为。

2. 具体实现步骤 #

• 实现ReauthPlugin接口：在reauth方法中调用你的自定义CredentialStoreSpi.retrieve()获取最新密码，然后更新连接的凭证信息。示例伪代码：

  public class MyCustomReauthPlugin implements ReauthPlugin {
      @Override
      public boolean reauth(WrappedConnection wc, Properties props) throws SQLException {
          // 调用自定义CredentialStore获取最新密码
          char[] newPassword = MyCredentialStore.getInstance().retrieve("my-ds-credential-key");
          // 更新连接的密码
          wc.getConnection().changeUser("username", newPassword);
          return true;
      }
  
      // 实现其他接口方法（init、destroy）
      @Override
      public void init(Properties props) {}
      
      @Override
      public void destroy() {}
  }
  

• 配置数据源：在WildFly的数据源配置中指定你的插件类全限定名，比如：

  <data-source name="ExampleDS" ...>
      <security>
          <credential-reference store="my-custom-store" alias="my-ds-credential-key"/>
          <reauth-plugin-class-name>com.yourcompany.MyCustomReauthPlugin</reauth-plugin-class-name>
          <!-- 如果需要传递参数给插件，可添加以下配置 -->
          <reauth-plugin-properties>
              <property name="some-key" value="some-value"/>
          </reauth-plugin-properties>
      </security>
  </data-source>
  

• 部署插件类：将你的插件类打包成JAR，部署到WildFly的modules目录或作为应用依赖打包，确保类能被类加载器加载。

3. 为什么这比重写ManagedConnectionFactory更优？ #

重写ManagedConnectionFactory确实能修改凭证获取逻辑，但这种方式深度绑定IronJacamar的内部实现，WildFly或IronJacamar版本升级时很可能出现兼容性问题。而Reauth Plugin是官方暴露的标准扩展点，专门适配动态凭证、密码轮转这类场景，稳定性和可维护性更强。

三、关于你测试中看到的WrappedConnectionRequestInfo逻辑 #

你观察到代码总是进入WrappedConnectionRequestInfo的判断，这是因为默认没有配置Reauth Plugin，连接池会优先复用缓存的凭证信息。当你配置了自定义Reauth Plugin后，代码会在获取连接时优先调用插件的reauth方法，从而绕过缓存逻辑，每次都从你的凭证存储获取最新密码。

内容的提问来源于stack exchange，提问作者Claudio Weiler