Keycloak结合Quarkus数据源配置及连接验证等问题咨询

我之前在WildFly中配置了如下带连接验证的JDBC配置：

<validation>
     <check-valid-connection-sql>select 1</check-valid-connection-sql>
     <validate-on-match>false</validate-on-match>
     <background-validation-millis>10000</background-validation-millis>
</validation>

但在Keycloak中无法直接做相同配置，我考虑通过Quarkus来配置数据源，但不确定Keycloak是否能使用这类数据源。想咨询三个问题：

1. 能否在Keycloak中配置验证查询及其运行属性？
2. Keycloak是否可使用Quarkus创建的数据源？
3. 如何简单安全地配置JDBC_PING和Keycloak数据源（无需明文密码或SSL）？

1. 能否在Keycloak中配置验证查询及其运行属性？ #

可以实现。Keycloak基于Quarkus构建，你可以通过Quarkus标准的数据源配置属性，复刻WildFly中的连接验证逻辑，对应配置项如下：

• 验证查询：quarkus.datasource.jdbc.validation-query=select 1
• 关闭匹配时验证：quarkus.datasource.jdbc.validate-on-match=false
• 后台验证间隔：quarkus.datasource.jdbc.background-validation-interval=10（注意单位为秒，对应原配置的10000毫秒）

这些配置可直接写入keycloak.conf文件，或通过环境变量传递（如QUARKUS_DATASOURCE_JDBC_VALIDATION_QUERY=select 1）。

2. Keycloak是否可使用Quarkus创建的数据源？ #

完全可以。Keycloak本身就依赖Quarkus的数据源组件运行，你通过quarkus.datasource.*前缀配置的数据源，Keycloak会自动识别并作为默认数据源使用。若需多数据源场景，还可通过Keycloak SPI扩展指定特定数据源用于不同功能模块。

3. 如何简单安全地配置JDBC_PING和Keycloak数据源（无需明文密码或SSL）？ #

数据源安全配置（避免明文密码） #

• 环境变量传递：不在配置文件中写入明文密码，启动时通过环境变量注入，示例：

  export QUARKUS_DATASOURCE_PASSWORD=your-secure-password
  

• 密码管理工具集成：生产环境可使用Quarkus的Vault集成（如HashiCorp Vault），配置示例：

  quarkus.datasource.password=${vault.datasource.password}
  

  密码交由Vault统一管理，避免明文暴露。
• 系统属性传递：启动Keycloak时通过-Dquarkus.datasource.password=xxx传递密码，注意避免命令行历史留存敏感信息。

JDBC_PING安全配置 #

JDBC_PING用于集群节点发现，可复用主数据源配置避免重复输入密码：

• 复用主数据源：直接指定使用Keycloak的默认数据源，无需单独配置连接信息，示例：

  quarkus.cluster.jdbc-ping.datasource=default
  quarkus.cluster.jdbc-ping.table-name=KEYCLOAK_CLUSTER_NODE
  

  该配置会自动继承主数据源的密码（从环境变量/Vault获取）。
• 自定义数据源（可选）：若需单独配置JDBC_PING数据源，同样用环境变量传递密码：

  quarkus.cluster.jdbc-ping.jdbc.url=jdbc:mysql://db-host:3306/keycloak
  quarkus.cluster.jdbc-ping.jdbc.driver=com.mysql.cj.jdbc.Driver
  quarkus.cluster.jdbc-ping.jdbc.user=db-user
  quarkus.cluster.jdbc-ping.jdbc.password=${env.DB_PASSWORD}
  

关于SSL：若无需SSL连接，确保配置中未开启SSL强制属性（如quarkus.datasource.jdbc.ssl-mode=disable），默认情况下数据库未强制SSL时会使用非SSL连接。

内容的提问来源于stack exchange，提问作者László Tóth